這很重要
自 2025 年 5 月 1 日起,Azure AD B2C 將不再可供新客戶購買。 在我們的常見問題中深入瞭解。
開始之前,請使用此頁面頂端的 [選擇原則類型] 選取器,選擇您要設定的原則類型。 Azure Active Directory B2C 提供兩種方法來定義使用者如何與您的應用程式互動:透過預先定義的使用者流程,或透過完全可設定的自訂原則。 此文章中所需的步驟隨各方法而異。
先決條件
- 建立使用者流程,讓使用者能夠註冊並登入您的應用程式。
- 註冊 Web 應用程式。
- 完成開始使用 Active Directory B2C 中的自定義原則中的步驟。 本教學課程會引導您更新自定義原則檔案,以使用您的 Azure AD B2C 租用戶設定。
- 註冊 Web 應用程式。
在 Amazon 開發人員控制台中建立應用程式
若要在 Azure Active Directory B2C (Azure AD B2C) 中為具有 Amazon 帳戶的使用者啟用登入,您必須在 Amazon Developer Services and Technologies 中建立應用程式。 如需詳細資訊,請參閱 向 Amazon 註冊登入。 如果您還沒有 Amazon 帳戶,您可以在 註冊 https://www.amazon.com/。
- 使用您的 Amazon 帳戶認證登入 Amazon Developer Console 。
- 如果您尚未這麼做,請選取 [ 註冊],遵循開發人員註冊步驟,然後接受原則。
- 從 [儀錶板] 中,選取 [ 使用 Amazon 登入]。
- 選取 [建立新的安全性配置檔]。
- 輸入 安全性配置檔名稱、 安全性配置檔描述和 同意隱私權通知 URL,例如
https://www.contoso.com/privacy
隱私權通知 URL 是您管理的頁面,可提供隱私權資訊給使用者。 然後按下 儲存。 - 在 [ 使用 Amazon 組態登入 ] 區段中,選取您建立 的安全性配置檔名稱 ,選取 [管理 ] 圖示,然後選取 [Web 設定]。
- 在 [Web 設定] 區段中,複製 [用戶端標識符] 的值。 選取 [顯示秘密 ] 以取得客戶端密碼,然後複製它。 您需要這兩個值,才能將 Amazon 帳戶設定為租使用者中的識別提供者。 用戶端密碼 是重要的安全性認證。
- 在 [ Web 設定] 區段中,選取 [ 編輯]。
- 在 [允許的來源] 中,輸入
https://your-tenant-name.b2clogin.com
。 以您的租使用者名稱取代your-tenant-name
。 如果您使用 自訂網域,請輸入https://your-domain-name
。 -
允許的傳回 URL ,輸入
https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp
。 如果您使用 自訂網域,請輸入https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp
。 將your-tenant-name
替換為您的租用者名稱,並將your-domain-name
替換為您的自訂網域名稱。
- 在 [允許的來源] 中,輸入
- 選取 [儲存]。
將 Amazon 設定為識別提供者
- 使用至少具有外部識別提供者系統管理員許可權的帳戶登入 Azure 入口網站。
- 如果您有多個租用戶的存取權,請使用頂端功能表中的 [設定] 圖示,從 [目錄 + 訂用帳戶] 功能表切換至您的 Azure AD B2C 租用戶。
- 選擇 Azure 入口網站左上角 的 [所有服務 ],搜尋並選取 [Azure AD B2C]。
- 選取 [ 識別提供者],然後選取 [Amazon]。
- 輸入名稱。 例如, Amazon。
- 針對 [ 用戶端識別符],輸入您稍早建立之 Amazon 應用程式的用戶端識別碼。
- 在 [用戶端密碼] 中,輸入您記下的用戶端密碼。
- 選取 [儲存]。
將 Amazon 身分識別提供者新增至使用者流程
此時,Amazon 身分識別提供者已設定,但尚未在任何登入頁面中提供。 若要將 Amazon 識別提供者新增至使用者流程:
- 在您的 Azure AD B2C 租戶中,選取 使用者流程。
- 按一下您要新增 Amazon 識別提供者的使用者流程。
- 在 [社交識別提供者] 底下,選取 [Amazon]。
- 選取 [儲存]。
- 若要測試您的原則,請選取 [ 執行使用者流程]。
- 針對 [應用程式],選取您先前註冊的名為 testapp1 的Web應用程式。
Reply URL 應顯示
https://jwt.ms
。 - 選取 [ 執行使用者流程 ] 按鈕。
- 從 [註冊或登入] 頁面中,選取 [Amazon ] 以使用 Amazon 帳戶登入。
如果登入程式成功,您的瀏覽器會重新導向至 https://jwt.ms
,以顯示 Azure AD B2C 所傳回令牌的內容。
建立原則金鑰
您必須儲存您先前在 Azure AD B2C 租用戶中記錄的客戶端密碼。
- 登入 Azure 入口網站。
- 如果您有多個租用戶的存取權,請使用頂端功能表中的 [設定] 圖示,從 [目錄 + 訂用帳戶] 功能表切換至您的 Azure AD B2C 租用戶。
- 選擇 Azure 入口網站左上角 的 [所有服務 ],然後搜尋並選取 [Azure AD B2C]。
- 在 [概觀] 頁面上,選取 [ 身分識別體驗架構]。
- 選取 [原則密鑰 ],然後選取 [ 新增]。
- 針對 [選項],選擇
Manual
。 - 輸入政策金鑰的名稱。 例如:
AmazonSecret
。 前置詞B2C_1A_
會自動新增至金鑰的名稱。 - 在 [ 秘密] 中,輸入您先前記錄的客戶端密碼。
- 針對 [ 金鑰使用方式],選取
Signature
。 - 點擊 建立。
將 Amazon 設定為識別提供者
若要讓使用者使用 Amazon 帳戶登入,您必須將帳戶定義為宣告提供者。 Azure AD B2C 可以透過端點進行通訊。 端點提供一組宣告,供 Azure AD B2C 用來驗證特定使用者已驗證。
您可以將 Amazon 帳戶定義為宣告提供者,方法是將它新增至原則擴充檔案中的 ClaimsProviders 元素。
開啟 TrustFrameworkExtensions.xml。
尋找 ClaimsProviders 元素。 如果不存在,請在根元素底下新增它。
新增 ClaimsProvider ,如下所示:
<ClaimsProvider> <Domain>amazon.com</Domain> <DisplayName>Amazon</DisplayName> <TechnicalProfiles> <TechnicalProfile Id="Amazon-OAuth2"> <DisplayName>Amazon</DisplayName> <Protocol Name="OAuth2" /> <Metadata> <Item Key="ProviderName">amazon</Item> <Item Key="authorization_endpoint">https://www.amazon.com/ap/oa</Item> <Item Key="AccessTokenEndpoint">https://api.amazon.com/auth/o2/token</Item> <Item Key="ClaimsEndpoint">https://api.amazon.com/user/profile</Item> <Item Key="scope">profile</Item> <Item Key="HttpBinding">POST</Item> <Item Key="UsePolicyInRedirectUri">false</Item> <Item Key="client_id">Your Amazon application client ID</Item> </Metadata> <CryptographicKeys> <Key Id="client_secret" StorageReferenceId="B2C_1A_AmazonSecret" /> </CryptographicKeys> <OutputClaims> <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="user_id" /> <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" /> <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" /> <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="amazon.com" /> <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" /> </OutputClaims> <OutputClaimsTransformations> <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" /> <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" /> <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" /> </OutputClaimsTransformations> <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" /> </TechnicalProfile> </TechnicalProfiles> </ClaimsProvider>
將 client_id 設定為應用程式註冊中的應用程式識別碼。
儲存檔案。
新增使用者旅程圖
此時,身份提供者已設定,但尚未在任何登入頁面中可用。 如果您沒有自己的自定義使用者旅程圖,請建立現有範本使用者旅程圖的重複項目,否則請繼續進行下一個步驟。
- 從入門套件開啟 TrustFrameworkBase.xml 檔案。
- 尋找並複製包含 之
Id="SignUpOrSignIn"
元素的整個內容。 - 開啟 TrustFrameworkExtensions.xml 並尋找 UserJourneys 元素。 如果元素不存在,新增一個。
- 貼上您複製的 UserJourney 元素作為 UserJourneys 元素子元素的整個內容。
- 重新命名使用者旅程的識別碼。 例如:
Id="CustomSignUpSignIn"
。
將識別提供者新增至使用者旅程圖
現在您已擁有使用者旅程圖,請將新的識別提供者新增至使用者旅程圖。 您必須先新增登入按鈕,然後將按鈕連結至動作。 動作項目是您稍早建立的技術配置檔。
尋找使用者旅程中包含
Type="CombinedSignInAndSignUp"
或Type="ClaimsProviderSelection"
的協調流程步驟元素。 通常是第一個編排流程步驟。 ClaimsProviderSelections 元素包含使用者可以登入的識別提供者清單。 元素的順序會控制向用戶呈現的登入按鈕順序。 新增 ClaimsProviderSelection XML 元素。 將 TargetClaimsExchangeId 的值設定為易記名稱。在下一個協調流程步驟中,新增 ClaimsExchange 元素。 將標識碼設定為目標宣告交換的標識碼值。更新TechnicalProfileReferenceId的值為您稍早建立的技術配置檔之標識碼。
下列 XML 示範使用者旅程圖的前兩個協調流程步驟與識別提供者:
<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
<ClaimsProviderSelections>
...
<ClaimsProviderSelection TargetClaimsExchangeId="AmazonExchange" />
</ClaimsProviderSelections>
...
</OrchestrationStep>
<OrchestrationStep Order="2" Type="ClaimsExchange">
...
<ClaimsExchanges>
<ClaimsExchange Id="AmazonExchange" TechnicalProfileReferenceId="Amazon-OAuth2" />
</ClaimsExchanges>
</OrchestrationStep>
設定信賴憑證者原則
例如 SignUpSignIn.xml 的信賴方政策,指定 Azure AD B2C 將執行的使用者流程。 尋找信賴憑證者內的DefaultUserJourney元素。 更新 ReferenceId 以符合您新增識別提供者的使用者旅程圖標識碼。
在下列範例中 CustomSignUpSignIn
,針對使用者旅程圖, ReferenceId 會設定為 CustomSignUpSignIn
:
<RelyingParty>
<DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
...
</RelyingParty>
上傳自定義原則
- 登入 Azure 入口網站。
- 在入口網站工具列中選取 [目錄 + 訂 用帳戶] 圖示,然後選取包含 Azure AD B2C 租使用者的目錄。
- 在 Azure 入口網站中,搜尋並選取 [Azure AD B2C]。
- 在 [ 原則] 底下,選取 [ 身分識別體驗架構]。
- 選取 [上傳自定義原則],然後上傳您變更的兩個原則檔案,順序如下:擴充原則,例如
TrustFrameworkExtensions.xml
,然後是信賴憑證者原則,例如SignUpSignIn.xml
。
測試您的自定義原則
- 選取您的受信方政策,例如
B2C_1A_signup_signin
。 - 針對 [應用程式],選取您 先前註冊的 Web 應用程式。
Reply URL 應顯示
https://jwt.ms
。 - 選取 [ 立即執行] 按鈕。
- 從 [註冊或登入] 頁面中,選取 [Amazon ] 以使用 Amazon 帳戶登入。
如果登入程式成功,您的瀏覽器會重新導向至 https://jwt.ms
,以顯示 Azure AD B2C 所傳回令牌的內容。