Настройка регистрации и входа с помощью мобильного идентификатора - Azure AD B2C

2025-05-01

Это важно

Начиная с 1 мая 2025 г. Azure AD B2C больше не будет доступен для приобретения для новых клиентов. Дополнительные сведения см. в разделе "Вопросы и ответы".

Прежде чем начать, используйте селектор типа политики в верхней части этой страницы, чтобы выбрать тип политики, которую вы настроите. Azure Active Directory B2C предлагает два метода определения способа взаимодействия пользователей с вашими приложениями: с помощью предопределенных потоков пользователей или полностью настраиваемых пользовательских политик. Действия, которые необходимо выполнить, отличаются для каждого метода.

Из этой статьи вы узнаете, как регистрироваться и входить клиентам с мобильным идентификатором в приложениях с помощью Azure Active Directory B2C (Azure AD B2C). Решение Mobile ID защищает доступ к корпоративным данным и приложениям с комплексным решением для надежной многофакторной аутентификации (MFA). Вы добавляете мобильный идентификатор в потоки пользователя или настраиваемую политику с помощью протокола OpenID Connect.

Предпосылки

Создайте поток пользователя, чтобы пользователи могли зарегистрироваться и входить в ваше приложение.
Зарегистрируйте веб-приложение.

Выполните действия, описанные в статье "Начало работы с настраиваемыми политиками в Active Directory B2C". В этом руководстве описано, как обновить пользовательские файлы политики для использования конфигурации клиента Azure AD B2C.
Зарегистрируйте веб-приложение.

Создание приложения мобильного идентификатора

Чтобы включить вход для пользователей с помощью мобильного идентификатора в Azure AD B2C, необходимо создать приложение. Чтобы создать приложение Mobile ID, выполните следующие действия.

Обратитесь в службу поддержки mobile ID.

Укажите идентификатор мобильного устройства для вашего клиента Azure AD B2C:

Ключ Замечание

Перенаправляющий URI Укажите универсальный https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp код ресурса (URI). Если вы используете личный домен, введите https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp. Замените your-tenant-name именем клиента и your-domain-name личным доменом.

Метод проверки подлинности конечной точки токена client_secret_post

Ключ	Замечание
Перенаправляющий URI	Укажите универсальный `https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp` код ресурса (URI). Если вы используете личный домен, введите `https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp`. Замените `your-tenant-name` именем клиента и `your-domain-name` личным доменом.
Метод проверки подлинности конечной точки токена	`client_secret_post`

После регистрации приложения следующие сведения будут предоставлены мобильным идентификатором. Используйте эти сведения для настройки потока пользователя или настраиваемой политики.

Ключ	Замечание
Идентификатор клиента	Идентификатор клиента Mobile ID. Например, 0000111-aaaa-2222-bbbb-3333cccc4444.
Секрет клиента	Секрет клиента Mobile ID.

Настроить мобильный идентификатор как поставщика идентичности

Если у вас есть доступ к нескольким клиентам, щелкните значок Настройки в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню Каталоги и подписки.
Выберите все службы в левом верхнем углу портала Azure, а затем найдите и выберите Azure AD B2C.
Выберите поставщики удостоверений и выберите новый поставщик OpenID Connect.
Введите Имя. Например, введите мобильный идентификатор.
Для URL-адреса метаданных введите известную конфигурационную конечную точку Mobile ID OpenId. Рассмотрим пример.
```
https://openid.mobileid.ch/.well-known/openid-configuration
```
Для идентификатора клиента введите идентификатор клиента Mobile ID.
Для секрета клиента введите секрет клиента Mobile ID.
В поле "Область" введите openid, profile, phone, mid_profile.
Оставьте значения по умолчанию для типа ответа (code) и режима ответа (form_post).
(Необязательно) Для указания домена введите mobileid.ch. Дополнительные сведения см. в статье Настройка прямого входа в систему с помощью Azure Active Directory B2C.
В разделе сопоставления утверждений поставщика удостоверений выберите следующие утверждения:
- Идентификатор пользователя: sub
- Отображаемое имя: имя
Нажмите кнопку "Сохранить".

Добавление поставщика услуг идентификации через мобильный ID в пользовательский поток

На этом этапе поставщик удостоверений mobile ID настроен, но он еще не доступен на любой из страниц входа. Чтобы добавить поставщика аутентификации мобильного идентификатора в поток пользователя:

В клиенте Azure AD B2C выберите потоки пользователей.
Выберите поток пользователя, в который вы хотите добавить поставщика удостоверений Mobile ID.
В разделе поставщиков удостоверений социальных сетей выберите Мобильный идентификатор.
Нажмите кнопку "Сохранить".
Чтобы протестировать вашу политику, выберите Запустить поток пользователя.
Для приложения выберите веб-приложение с именем testapp1 , которое вы ранее зарегистрировали. В поле URL-адрес ответа должно содержаться значение https://jwt.ms.
Нажмите на кнопку Запустить пользовательский поток.
На странице регистрации или входа выберите Mobile ID , чтобы войти с помощью Mobile ID.

Если процесс входа выполнен успешно, браузер перенаправляется на https://jwt.ms, где отображается содержимое токена, возвращаемого Azure AD B2C.

Создание ключа политики

Необходимо сохранить секрет клиента, полученный от мобильного идентификатора в клиенте Azure AD B2C.

Войдите на портал Azure.
Убедитесь, что вы используете каталог, содержащий арендатора Azure AD B2C. Выберите фильтр Каталог + подписка в верхнем меню и выберите каталог, содержащий вашего арендатора.
Выберите все службы в левом верхнем углу портала Azure, а затем найдите и выберите Azure AD B2C.
На странице "Обзор" выберите Identity Experience Framework.
Выберите ключи политики и нажмите кнопку "Добавить".
В разделе "Параметры" выберите Manual.
Введите имя для ключа политики. Например: Mobile IDSecret. Префикс B2C_1A_ добавляется автоматически в имя ключа.
Введите секретный ключ клиента Mobile ID в секретном поле.
Для использования ключа выберите Signature.
Нажмите кнопку "Создать".

Настроить мобильный идентификатор как поставщика идентичности

Чтобы пользователи могли войти с помощью мобильного идентификатора, необходимо определить мобильный идентификатор в качестве поставщика утверждений, с которым Azure AD B2C может взаимодействовать через конечную точку. Конечная точка предоставляет набор утверждений, используемых Azure AD B2C для проверки подлинности определенного пользователя.

Вы можете определить мобильный идентификатор в качестве поставщика утверждений, добавив его в элемент ClaimsProviders в файле расширения политики.

Откройте TrustFrameworkExtensions.xml.
Найдите элемент ClaimsProviders . Если он не существует, добавьте его в корневой элемент.

Добавьте новый ClaimsProvider следующим образом:

<ClaimsProvider>
<Domain>mobileid.ch</Domain>
<DisplayName>Mobile-ID</DisplayName>
<TechnicalProfiles>
  <TechnicalProfile Id="MobileID-OAuth2">
  <DisplayName>Mobile-ID</DisplayName>
  <Protocol Name="OAuth2" />
  <Metadata>
    <Item Key="ProviderName">Mobile-ID</Item>
     <Item Key="authorization_endpoint">https://m.mobileid.ch/oidc/authorize</Item>
      <Item Key="AccessTokenEndpoint">https://openid.mobileid.ch/token</Item>
      <Item Key="ClaimsEndpoint">https://openid.mobileid.ch/userinfo</Item>
      <Item Key="scope">openid, profile, phone, mid_profile</Item>
      <Item Key="HttpBinding">POST</Item>
      <Item Key="UsePolicyInRedirectUri">false</Item>
      <Item Key="token_endpoint_auth_method">client_secret_post</Item>
      <Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>
      <Item Key="client_id">Your application ID</Item>
    </Metadata>
    <CryptographicKeys>
      <Key Id="client_secret" StorageReferenceId="B2C_1A_MobileIdSecret" />
    </CryptographicKeys>
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="mobileid.ch" />
      <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
    </OutputClaims>
    <OutputClaimsTransformations>
      <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
      <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
      <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
      <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
    </OutputClaimsTransformations>
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Установите client_id в значение идентификатора клиента Mobile ID.
Сохраните файл.

Добавить пользовательский сценарий

На этом этапе поставщик удостоверений настроен, но он еще не доступен на любой из страниц входа. Если у вас нет собственного пользовательского пути, создайте дубликат существующего пути пользователя шаблона, в противном случае перейдите к следующему шагу.

Откройте файлTrustFrameworkBase.xml из начального пакета.
Найдите и скопируйте все содержимое элемента UserJourney , который включает в себя Id="SignUpOrSignIn".
Откройте TrustFrameworkExtensions.xml и найдите элемент UserJourneys . Если элемент не существует, добавьте его.
Вставьте все содержимое элемента UserJourney , скопированного в качестве дочернего элемента UserJourneys .
Переименуйте идентификатор пути пользователя. Например: Id="CustomSignUpSignIn".

Добавьте поставщика удостоверений в путь пользователя

Теперь, когда у вас есть путь пользователя, добавьте нового поставщика идентификации в этот путь. Сначала вы добавляете кнопку входа, а затем связываете кнопку с действием. Действие — это технический профиль, который вы создали ранее.

Найдите элемент шага оркестрации, который включает в себя Type="CombinedSignInAndSignUp" или Type="ClaimsProviderSelection" в процессе работы пользователя. Обычно это первый шаг оркестрации. Элемент ClaimsProviderSelections содержит список поставщиков удостоверений, с которыми пользователь может войти. Порядок элементов определяет порядок кнопок входа, представленных пользователю. Добавьте XML-элемент ClaimsProviderSelection . Задайте для параметра TargetClaimsExchangeId понятное имя.
На следующем шаге оркестрации добавьте элемент ClaimsExchange . Установите Id на значение идентификатора целевого обмена утверждениями. Обновите значение TechnicalProfileReferenceId на идентификатор ранее созданного технического профиля.

Следующий XML-код демонстрирует первые два этапа оркестрации взаимодействия пользователя с поставщиком удостоверений:

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="MobileIDExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="MobileIDExchange" TechnicalProfileReferenceId="MobileID-OAuth2" />
  </ClaimsExchanges>
</OrchestrationStep>

Настройте политику доверяющей стороны

Политика проверяющей стороны, например SignUpSignIn.xml, указывает пользовательский сценарий, который будет выполнять Azure AD B2C. Найдите элемент DefaultUserJourney в поддерживающей стороне. Обновите ReferenceId, чтобы он соответствовал идентификатору пути пользователя, где вы добавили провайдера идентификации.

В следующем примере для CustomSignUpSignIn пути пользователя для параметра ReferenceId задано значение CustomSignUpSignIn:

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Отправка настраиваемой политики

Войдите на портал Azure.
Щелкните значок каталога и подписки на панели инструментов портала, а затем выберите каталог, содержащий клиент Azure AD B2C.
В портале Azure найдите и выберите Azure AD B2C.
В разделе "Политики" выберите Identity Experience Framework.
Выберите " Отправить настраиваемую политику", а затем отправьте два измененных файла политики в следующем порядке: политика расширения, например TrustFrameworkExtensions.xml, политика проверяющей стороны, например SignUpSignIn.xml.

Проверка настраиваемой политики

Выберите политику доверенной стороны, например B2C_1A_signup_signin.
Для приложения выберите веб-приложение, которое вы ранее зарегистрировали. В поле URL-адрес ответа должно содержаться значение https://jwt.ms.
Нажмите кнопку "Запустить сейчас ".
На странице регистрации или входа выберите Mobile ID , чтобы войти с помощью Mobile ID.

Дальнейшие шаги

Узнайте, как передать токен мобильного ID вашему приложению.

Поделиться через

Настройка регистрации и входа с помощью мобильного идентификатора с помощью Azure Active Directory B2C

Предпосылки

Создание приложения мобильного идентификатора

Настроить мобильный идентификатор как поставщика идентичности

Добавление поставщика услуг идентификации через мобильный ID в пользовательский поток

Создание ключа политики

Настроить мобильный идентификатор как поставщика идентичности

Добавить пользовательский сценарий

Добавьте поставщика удостоверений в путь пользователя

Настройте политику доверяющей стороны

Отправка настраиваемой политики

Проверка настраиваемой политики

Дальнейшие шаги

Обратная связь

Дополнительные ресурсы