手动配置 Azure Active Directory B2C 提供者

项目
01/18/2024

备注

从 2022 年 10 月起，Power Apps 门户更名为 Power Pages。
此主题适用于旧版功能。有关最新信息，请转到 Microsoft Power Pages 文档。

本文介绍如何手动将 Azure AD B2C 配置为标识提供者。使用以下步骤手动创建新的 Azure AD B2C 租户，注册应用程序，然后配置用户流。

备注

如果要使用 Power Apps 门户自动配置 Azure AD B2C 提供者，请转到配置 Azure AD B2C 提供者。
对身份验证设置的更改可能需要几分钟反映在门户上。如果您希望立即反映更改，请使用门户操作重启门户。

将 Azure Active Directory B2C 手动配置为 OpenID Connect 提供者

为 Azure Active Directory B2C 选择配置。详细信息：配置提供者
如果需要，请更新名称。
选择跳转至手动配置。

备注

选择下一步而不是跳转至手动配置，您可以使用 Power Apps 门户界面配置 Azure AD B2C 身份验证。
在此步骤中，您使用您的标识提供者创建应用程序并配置设置。
1. 登录到您的 Azure 门户。
2. 创建 Azure AD B2C 租户。
3. 在您的租户中注册应用程序。
  1. 搜索并选择 Azure Active Directory B2C。
  2. 在管理下，选择应用注册。
  3. 选择新建注册。
  4. 输入名称。
  5. 在重定向 URI 下，选择 Web（如果尚未选择）。
  6. 在重定向 URI 文本框中，输入您的门户的回复 URL。
    示例: https://contoso-portal.powerappsportals.com/signin-aad-b2c_1
    
    备注
    
    如果您使用的是默认门户 URL，请复制并粘贴回复 URL，如配置标识提供者屏幕上的在 Azure 中创建和配置 B2C 租户部分所示（上面的步骤 4）。如果您为门户使用的是自定义域名，请输入自定义 URL。请确保在配置 Azure AD B2C 提供者的同时在门户设置中配置重定向 URL 时使用此值。
    例如，如果您在 Azure 门户中输入回复 URL 为 https://contoso-portal.powerappsportals.com/signin-aad-b2c_1，则必须在门户中将其原样用于 Azure AD B2C 配置。
  7. 选择注册。
  8. 在左侧窗格上的管理下，选择身份验证。
  9. 在隐式授权下，选中访问令牌(用于隐式流) 复选框。
  10. 选择保存。
4. 创建注册和登录用户流。或者，您也可以创建密码重置用户流。
5. 使用包含 tfp 的颁发者(iss)声明 URL 配置令牌兼容性。详细信息：令牌兼容性
在此步骤中，为门户配置输入站点设置和密码重置设置。
1. 在配置站点设置部分，输入以下值：
  - 机构：输入注册和登录策略用户流的元数据中定义的颁发者 URL。
    获取颁发者 URL
    1. 打开您之前创建的注册和登录用户流。在此步骤中，您需要转到 Azure 门户上的 Azure AD B2C 租户。
    2. 选择运行用户流。
    3. 选择要在新浏览器窗口或选项卡中打开的 OpenID 配置 URL。
      
      该 URL 指的是 OpenID Connect 标识提供者配置文档，也称为 OpenID 已知配置终结点。
    4. 从新的浏览器窗口或标签页复制颁发者的 URL。
      
      确保仅复制 URL，不包含引号 ("")。
      例如，https://contosoorg.b2clogin.com/tfp/799f7b50-f7b9-49ec-ba78-67eb67210998/b2c_1_contoso/v2.0/
      
      提示
      
      确保颁发者(iss)声明 URL 包含 tfp。
  - 客户端 ID：输入您之前创建的 Azure AD B2C 应用程序的应用程序 ID。
  - 重定向 URI：输入门户 URL。
    如果您使用的是自定义域名，您只需更改重定向 URI。
2. 在密码重置设置部分，输入以下值：
  - 默认策略 ID：输入您之前创建的注册和登录用户流的名称。该名称的前缀为 B2C_1。
  - 密码重置策略 ID：输入您之前创建的密码重置用户流的名称。该名称的前缀为 B2C_1。
  - 有效颁发者：输入您之前创建的注册和登录用户流以及密码重置用户流的颁发者 URL 的逗号分隔列表。
    要获取注册和登录用户流以及密码重置用户流的颁发者 URL，打开每个流，然后按照本文前面步骤 5a 中机构下的步骤操作。
在此步骤中，您可以选择为 Azure AD B2C 标识提供者配置其他设置。
- 注册声明映射：使用电子邮件、名或姓属性时不需要。对于其他属性，输入逻辑名称/声明对列表，用于将从 Azure AD B2C（在注册期间创建）返回的声明值映射到联系人记录中的属性。
  格式：field_logical_name=jwt_attribute_name，其中 field_logical_name 是门户中字段的逻辑名称，jwt_attribute_name 是具有从标识提供者返回的值的属性。
  例如，如果您已在用户流中启用职务 (jobTitle) 和邮政编码 (postalCode) 作为用户属性，并且想要更新相应的联系人表字段职务 (jobtitle) 和地址 1：ZIP/邮政编码 (address1_postalcode)，请将声明映射输入为 jobtitle=jobTitle,address1_postalcode=postalCode。
- 登录声明映射：使用电子邮件、名或姓属性时不需要。对于其他属性，输入逻辑名称/声明对列表，用于将登录后从 Azure AD B2C 返回的声明值映射到联系人记录中的属性。
  格式：field_logical_name=jwt_attribute_name，其中 field_logical_name 是门户中字段的逻辑名称，jwt_attribute_name 是具有从标识提供者返回的值的属性。
  例如，如果您已在用户流中启用职务 (jobTitle) 和邮政编码 (postalCode) 作为应用程序声明，并且想要更新相应的联系人表字段职务 (jobtitle) 和地址 1：ZIP/邮政编码 (address1_postalcode)，请将声明映射输入为 jobtitle=jobTitle,address1_postalcode=postalCode。
- 外部注销：选择是启用还是禁用联合注销：
  - 选择开在用户从门户注销时将用户重定向到联合注销用户体验。
  - 选择关仅从门户注销用户。
- 包含电子邮件的联系人映射：指定是否将联系人映射到相应的电子邮件。打开此切换可以将唯一的联系人记录与匹配的电子邮件地址关联，然后在用户成功登录后自动将外部标识提供者分配到联系人。
- 已启用注册：- 打开或关闭门户开放式注册。关闭此切换将禁用和隐藏外部帐户注册。
选择确认查看您的设置摘要并完成标识提供者配置。