Konfigurera en SAML-app för att ta emot token med anspråk från ett externt arkiv
Den här artikeln beskriver hur du konfigurerar ett SAML-program för att ta emot token med externa anspråk från din anpassade anspråksprovider.
Förutsättningar
Innan du konfigurerar ett SAML-program för att ta emot token med externa anspråk följer du först följande avsnitt:
- Konfigurera en starthändelse för anpassad anspråksproviderns tokenutfärdning
- Registrera ett tillägg för anpassade anspråk
Konfigurera ett SAML-program som tar emot berikade token
Enskilda appadministratörer eller ägare kan använda en anpassad anspråksprovider för att utöka token för befintliga program eller nya program. Dessa appar kan använda token i antingen JWT-format (för OpenID Connect) eller SAML-format.
Följande steg gäller för att registrera ett XRayClaims-demoprogram så att du kan testa om det kan ta emot en token med berikade anspråk.
Lägga till ett nytt SAML-program
Dricks
Stegen i den här artikeln kan variera något beroende på vilken portal du börjar från.
Lägg till ett nytt SAML-program som inte är ett galleriprogram i klientorganisationen:
Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör.
Bläddra till Identity>Applications Enterprise-program.>
Välj Nytt program och sedan Skapa ett eget program.
Lägg till ett namn för appen. Till exempel AzureADClaimsXRay. Välj alternativet Integrera andra program som du inte hittar i galleriet (icke-galleri) och välj Skapa.
Konfigurera enkel inloggning med SAML
Konfigurera enkel inloggning för appen:
På sidan Översikt väljer du Konfigurera enkel inloggning och sedan SAML. Välj Redigera i Grundläggande SAML-konfiguration.
Välj Lägg till identifierare och lägg till "urn:microsoft:adfs:claimsxray" som identifierare. Om identifieraren redan används av ett annat program i din organisation kan du använda ett alternativ som urn:microsoft:adfs:claimsxray12
Välj svars-URL och lägg till
https://adfshelp.microsoft.com/ClaimsXray/TokenResponsesom svars-URL.Välj Spara.
Konfigurera anspråk
Attribut som returneras av api:et för din anpassade anspråksprovider ingår inte automatiskt i token som returneras av Microsoft Entra-ID. Du måste konfigurera ditt program för att referera till attribut som returneras av den anpassade anspråksprovidern och returnera dem som anspråk i token.
På sidan Konfiguration av företagsprogram för den nya appen går du till fönstret Enkel inloggning.
Välj i Redigera för avsnittet Attribut och anspråk
Expandera avsnittet Avancerade inställningar .
Välj på Konfigurera för anpassad anspråksprovider.
Välj det anpassade autentiseringstillägget som du registrerade tidigare i listrutan Anpassad anspråksprovider . Välj Spara.
Välj Lägg till nytt anspråk för att lägga till ett nytt anspråk.
Ange ett namn på det anspråk som du vill utfärda, till exempel "DoB". Du kan också ange en namnområdes-URI.
För Källa väljer du Attribut och väljer det attribut som tillhandahålls av den anpassade anspråksprovidern i listrutan Källattribut . Attribut som visas är attributen som definieras som "som ska göras tillgängliga" av den anpassade anspråksprovidern i konfigurationen av din anpassade anspråksprovider. Attribut som tillhandahålls av providern för anpassade anspråk prefix med customclaimsprovider. Till exempel customclaimsprovider. DateOfBirth och customclaimsprovider. CustomRoles. Dessa anspråk kan vara enkla eller flervärdesbaserade beroende av ditt API-svar.
Välj Spara för att lägga till anspråket i SAML-tokenkonfigurationen.
Stäng fönstren Hantera anspråk och attribut och anspråk.
Tilldela en användare eller grupp till appen
Innan du testar användarens inloggning måste du tilldela en användare eller grupp av användare till appen. Om du inte AADSTS50105 - The signed in user is not assigned to a role for the application gör det returneras felet när du loggar in.
På sidan Programöversikt väljer du Tilldela användare och grupper under Komma igång.
På sidan Användare och grupper väljer du Lägg till användare/grupp.
Sök efter och välj den användare som ska logga in på appen. Välj knappen Tilldela.
Testa programmet
Testa att token utökas för användare som loggar in i programmet:
På appöversiktssidan väljer du Enkel inloggning i det vänstra navigeringsfältet.
Rulla nedåt och välj Testa under Testa enkel inloggning med {appnamn}.
Välj Testa inloggning och logga in. I slutet av inloggningen bör du se röntgenverktyget tokensvarsanspråk. De anspråk som du har konfigurerat för att visas i token bör alla visas om de har icke-null-värden, inklusive alla som använder den anpassade anspråksprovidern som källa.
Nästa steg
Felsöka api:et för din anpassade anspråksprovider.
Visa exempelappen Autentiseringshändelser för Azure Functions.