Konfigurowanie rejestracji i logowania przy użyciu konta Microsoft - Azure AD B2C

2025-04-10

Ważne

Od 1 maja 2025 r. usługa Azure AD B2C nie będzie już dostępna do zakupu dla nowych klientów. Dowiedz się więcej w naszych często zadawanych pytaniach.

Przed rozpoczęciem użyj selektora Wybierz typ zasad w górnej części tej strony, aby wybrać typ konfigurowanych zasad. Usługa Azure Active Directory B2C oferuje dwie metody definiowania sposobu interakcji użytkowników z aplikacjami: za pomocą wstępnie zdefiniowanych przepływów użytkowników lub w pełni konfigurowalnych zasad niestandardowych. Kroki wymagane w tym artykule są różne dla każdej metody.

Uwaga

W usłudze Azure Active Directory B2C niestandardowe zasady są przeznaczone głównie do rozwiązywania złożonych scenariuszy. W przypadku większości scenariuszy zalecamy używanie wbudowanych przepływów użytkownika. Jeśli nie zostało to zrobione, dowiedz się więcej o niestandardowym pakiecie startowym zasad w temacie Wprowadzenie do zasad niestandardowych w usłudze Active Directory B2C.

Wymagania wstępne

Utwórz przepływ użytkownika, aby użytkownicy mogli zarejestrować się i zalogować do aplikacji.
Rejestrowanie aplikacji internetowej.

Wykonaj kroki opisane w Jak rozpocząć z zasadami niestandardowymi w usłudze Active Directory B2C. W tym samouczku przedstawiono sposób aktualizowania niestandardowych plików zasad, aby korzystać z konfiguracji kont usługi Azure AD B2C.
Rejestrowanie aplikacji internetowej.

Tworzenie aplikacji konta Microsoft

Aby włączyć logowanie dla użytkowników przy użyciu konta Microsoft w usłudze Azure Active Directory B2C (Azure AD B2C), musisz utworzyć aplikację w witrynie Azure Portal. Aby uzyskać więcej informacji, zobacz Rejestrowanie aplikacji przy użyciu Platforma tożsamości Microsoft. Jeśli nie masz jeszcze konta Microsoft, możesz uzyskać je na stronie https://www.live.com/.

Zaloguj się do portalu Azure.
Jeśli masz dostęp do wielu tenantów, wybierz ikonę Ustawienia w górnym menu, aby przełączyć się na dzierżawę Microsoft Entra ID z menu Katalogi i subskrypcje.
Wybierz pozycję Wszystkie usługi w lewym górnym rogu witryny Azure Portal, a następnie wyszukaj i wybierz pozycję Rejestracje aplikacji.
Wybierz opcję Nowa rejestracja.
Wprowadź nazwę aplikacji. Na przykład MSAapp1.
W obszarze Obsługiwane typy kont wybierz osobiste konta Microsoft (np. Skype, Xbox).

Aby uzyskać więcej informacji na temat wyboru różnych typów kont, zobacz Szybki start: rejestrowanie aplikacji za pomocą platformy tożsamości firmy Microsoft.
W obszarze Identyfikator URI przekierowania (opcjonalnie) wybierz pozycję Web i wprowadź https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp. Jeśli używasz domeny niestandardowej, wprowadź.https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp Zastąp your-tenant-name nazwą dzierżawy usługi Azure AD B2C i your-domain-name domeną niestandardową.
Wybierz pozycję Zarejestruj
Zarejestruj identyfikator aplikacji (klienta) wyświetlany na stronie Przegląd aplikacji. Identyfikator klienta jest potrzebny podczas konfigurowania dostawcy tożsamości w następnej sekcji.
Wybierz certyfikaty i sekrety
Kliknij pozycję Nowy klucz tajny klienta
Wprowadź opis sekretu, na przykład hasło aplikacji 1, a następnie kliknij Dodaj.
Zarejestruj hasło aplikacji wyświetlane w kolumnie Wartość . Klucz tajny klienta jest potrzebny podczas konfigurowania dostawcy tożsamości w następnej sekcji.

Konfigurowanie firmy Microsoft jako dostawcy tożsamości

Zaloguj się do witryny Azure Portal przy użyciu konta, które ma co najmniej uprawnienia administratora zewnętrznego dostawcy tożsamości .
Jeśli masz dostęp do wielu dzierżaw, wybierz ikonę Ustawienia w górnym menu, aby przełączyć się na dzierżawę Azure AD B2C z menu Katalogi + subskrypcje.
Wybierz pozycję Wszystkie usługi w lewym górnym rogu witryny Azure Portal, wyszukaj i wybierz pozycję Azure AD B2C.
Wybierz pozycję Dostawcy tożsamości, a następnie wybierz pozycję Konto Microsoft.
W polu Nazwa wprowadź nazwę. Na przykład MSA.
W polu Identyfikator klienta wprowadź identyfikator aplikacji (klienta) utworzonej wcześniej aplikacji Microsoft Entra.
Dla Klucza tajnego klienta wpisz tajny klucz klienta, który zanotowałeś.
Wybierz Zapisz.

Dodawanie dostawcy tożsamości firmy Microsoft do przepływu użytkownika

Na tym etapie dostawca tożsamości firmy Microsoft został skonfigurowany, ale nie jest jeszcze dostępny na żadnej ze stron logowania. Aby dodać dostawcę tożsamości firmy Microsoft do przepływu użytkownika:

W dzierżawie Azure AD B2C wybierz opcję Przepływy użytkownika.
Kliknij przepływ użytkownika, do którego chcesz dodać dostawcę tożsamości firmy Microsoft.
W obszarze Dostawcy tożsamości społecznościowych wybierz pozycję Konto Microsoft.
Wybierz Zapisz.
Aby przetestować politykę, wybierz pozycję Uruchom przepływ użytkownika.
W polu Aplikacja wybierz aplikację internetową o nazwie testapp1 , która została wcześniej zarejestrowana. Adres URL odpowiedzi powinien zawierać wartość https://jwt.ms.
Wybierz przycisk Uruchom przepływ użytkownika.
Na stronie rejestracji lub logowania wybierz pozycję Microsoft , aby zalogować się przy użyciu konta Microsoft.

Jeśli proces logowania zakończy się pomyślnie, przeglądarka zostanie przekierowana do https://jwt.ms, gdzie wyświetlana jest zawartość tokenu zwróconego przez Azure AD B2C.

Konfigurowanie opcjonalnych oświadczeń

Jeśli chcesz uzyskać roszczenia family_name i given_name z identyfikatora Microsoft Entra ID, możesz skonfigurować opcjonalne roszczenia dla aplikacji w interfejsie użytkownika portalu Azure lub manifeście aplikacji. Aby uzyskać więcej informacji, zobacz How to provide optional claims to your Microsoft Entra app (Jak dostarczyć opcjonalne oświadczenia do aplikacji Microsoft Entra).

Zaloguj się do portalu Azure. Wyszukaj i wybierz Microsoft Entra ID.
W sekcji Zarządzanie wybierz pozycję Rejestracje aplikacji.
Wybierz aplikację, dla której chcesz skonfigurować opcjonalne oświadczenia z listy.
W sekcji Zarządzanie wybierz pozycję Konfiguracja tokenu (wersja zapoznawcza).
Wybierz pozycję Dodaj opcjonalne oświadczenie.
Wybierz typ tokenu, który chcesz skonfigurować.
Wybierz opcjonalne oświadczenia do dodania.
Kliknij przycisk Dodaj.

Tworzenie klucza zasad

Po utworzeniu aplikacji w dzierżawie usługi Microsoft Entra musisz przechowywać klucz tajny klienta tej aplikacji w dzierżawie usługi Azure AD B2C.

Zaloguj się do portalu Azure.
Jeśli masz dostęp do wielu dzierżaw, wybierz ikonę Ustawienia w górnym menu, aby przełączyć się na dzierżawę Azure AD B2C z menu Katalogi + subskrypcje.
Wybierz pozycję Wszystkie usługi w lewym górnym rogu witryny Azure Portal, a następnie wyszukaj i wybierz pozycję Azure AD B2C.
Na stronie Przegląd ogólny wybierz pozycję Identity Experience Framework.
Wybierz Klucze zasad, a następnie wybierz Dodaj.
W obszarze Opcje wybierz pozycję Manual.
Wprowadź nazwę klucza zasad. Na przykład MSASecret. Prefiks B2C_1A_ jest dodawany automatycznie do nazwy klucza.
W polu Sekret wprowadź sekret klienta, który zarejestrowałeś w poprzedniej części.
W obszarze Użycie klucza wybierz pozycję Signature.
Kliknij pozycję Utwórz.

Konfigurowanie firmy Microsoft jako dostawcy tożsamości

Aby umożliwić użytkownikom logowanie się przy użyciu konta Microsoft, musisz zdefiniować konto jako dostawcę oświadczeń, z którym usługa Azure AD B2C może komunikować się za pośrednictwem punktu końcowego. Punkt końcowy udostępnia zestaw oświadczeń używanych przez usługę Azure AD B2C do sprawdzania, czy określony użytkownik został uwierzytelniony.

Identyfikator Microsoft Entra można zdefiniować jako dostawcę oświadczeń, dodając element ClaimsProvider w pliku rozszerzenia zasad.

Otwórz plik zasad TrustFrameworkExtensions.xml .
Znajdź element ClaimsProviders . Jeśli nie istnieje, dodaj go pod elementem głównym.

Dodaj nowy element ClaimsProvider w następujący sposób:

<ClaimsProvider>
  <Domain>live.com</Domain>
  <DisplayName>Microsoft Account</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="MSA-MicrosoftAccount-OpenIdConnect">
      <DisplayName>Microsoft Account</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <Metadata>
        <Item Key="ProviderName">https://login.live.com</Item>
        <Item Key="METADATA">https://login.live.com/.well-known/openid-configuration</Item>
        <Item Key="response_types">code</Item>
        <Item Key="response_mode">form_post</Item>
        <Item Key="scope">openid profile email</Item>
        <Item Key="HttpBinding">POST</Item>
        <Item Key="UsePolicyInRedirectUri">false</Item>
        <Item Key="client_id">Your Microsoft application client ID</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_MSASecret" />
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid" />
        <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
        <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
        <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Zastąp wartość client_id identyfikatorem aplikacji (klienta) Microsoft Entra, który został zarejestrowany wcześniej.
Zapisz plik.

Skonfigurowałeś teraz swoje zasady tak, aby usługa Azure AD B2C wiedziała, jak komunikować się z aplikacją konta Microsoft w Microsoft Entra ID.

Dodanie ścieżki użytkownika

W tym momencie dostawca tożsamości został skonfigurowany, ale nie jest jeszcze dostępny na żadnej ze stron logowania. Jeśli nie masz własnej niestandardowej podróży użytkownika, utwórz duplikat szablonu podróży użytkownika, inaczej przejdź do następnego kroku.

Otwórz plik TrustFrameworkBase.xml z pakietu startowego.
Znajdź i skopiuj całą zawartość elementu UserJourney , który zawiera Id="SignUpOrSignIn"element .
Otwórz TrustFrameworkExtensions.xml i znajdź element UserJourneys . Jeśli element nie istnieje, dodaj go.
Wklej całą zawartość elementu UserJourney skopiowaną jako element podrzędny elementu UserJourneys .
Zmień identyfikator podróży użytkownika. Na przykład Id="CustomSignUpSignIn".

Dodaj dostawcę tożsamości do podróży użytkownika

Teraz, gdy masz ścieżkę użytkownika, dodaj nowego dostawcę tożsamości do tej ścieżki. Najpierw dodaj przycisk logowania, a następnie połącz przycisk z akcją. Akcja to utworzony wcześniej profil techniczny.

Znajdź element kroku aranżacji, który zawiera Type="CombinedSignInAndSignUp" lub Type="ClaimsProviderSelection" w ścieżce użytkownika. Zazwyczaj jest to pierwszy krok aranżacji. Element ClaimsProviderSelections zawiera listę dostawców tożsamości, za pomocą których użytkownik może się zalogować. Kolejność elementów kontroluje kolejność przycisków logowania przedstawionych użytkownikowi. Dodaj element XML ClaimsProviderSelection. Ustaw wartość TargetClaimsExchangeId na przyjazną nazwę.
W następnym kroku aranżacji dodaj element ClaimsExchange . Ustaw Id na wartość identyfikatora wymiany oświadczeń dla celu. Zaktualizuj wartość TechnicalProfileReferenceId na Id profilu technicznego utworzonego wcześniej.

Poniższy kod XML przedstawia dwa pierwsze kroki orkiestracji podróży użytkownika z dostawcą tożsamości:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="MicrosoftAccountExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="MicrosoftAccountExchange" TechnicalProfileReferenceId="MSA-MicrosoftAccount-OpenIdConnect" />
  </ClaimsExchanges>
</OrchestrationStep>

Konfigurowanie polityki podmiotu polegającego

Polityka zaufanej strony, na przykład SignUpSignIn.xml, określa podróż użytkownika, którą zrealizuje Azure AD B2C. Znajdź element DefaultUserJourney w stronie zaufanej. Zaktualizuj identyfikator ReferenceId , aby był zgodny z identyfikatorem podróży użytkownika, w którym dodano dostawcę tożsamości.

W poniższym przykładzie dla ścieżki użytkownika CustomSignUpSignIn identyfikator ReferenceId jest ustawiony na:CustomSignUpSignIn

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Przekaż zasady niestandardowe

Zaloguj się do portalu Azure.
Wybierz ikonę Katalog i subskrypcja na pasku narzędzi portalu, a następnie wybierz katalog zawierający dzierżawę usługi Azure AD B2C.
W witrynie Azure Portal wyszukaj i wybierz pozycję Azure AD B2C.
W obszarze Policieswybierz pozycję Identity Experience Framework.
Wybierz Załaduj zasady niestandardowe, a następnie załaduj dwa zmienione pliki zasad w następującej kolejności: zasady rozszerzenia, na przykład TrustFrameworkExtensions.xml, a następnie zasady strony zależnej, takie jak SignUpSignIn.xml.

Przetestuj swoje zasady niestandardowe

Wybierz zasady zaufanej strony, na przykład B2C_1A_signup_signin.
W polu Aplikacja wybierz wcześniej zarejestrowaną aplikację internetową. Adres URL odpowiedzi powinien zawierać wartość https://jwt.ms.
Wybierz przycisk Uruchom teraz .
Na stronie rejestracji lub logowania wybierz pozycję Microsoft , aby zalogować się przy użyciu konta Microsoft.

Jeśli proces logowania zakończy się pomyślnie, przeglądarka zostanie przekierowana do https://jwt.ms, gdzie wyświetlana jest zawartość tokenu zwróconego przez Azure AD B2C.

Udostępnij za pośrednictwem

Konfigurowanie rejestracji i logowania przy użyciu konta Microsoft przy użyciu usługi Azure Active Directory B2C

Wymagania wstępne

Tworzenie aplikacji konta Microsoft

Konfigurowanie firmy Microsoft jako dostawcy tożsamości

Dodawanie dostawcy tożsamości firmy Microsoft do przepływu użytkownika

Konfigurowanie opcjonalnych oświadczeń

Tworzenie klucza zasad

Konfigurowanie firmy Microsoft jako dostawcy tożsamości

Dodanie ścieżki użytkownika

Dodaj dostawcę tożsamości do podróży użytkownika

Konfigurowanie polityki podmiotu polegającego

Przekaż zasady niestandardowe

Przetestuj swoje zasady niestandardowe

Opinia

Dodatkowe zasoby