這很重要
自 2025 年 5 月 1 日起,Azure AD B2C 將不再可供新客戶購買。 在我們的常見問題中深入瞭解。
開始之前,請使用此頁面頂端的 [選擇原則類型] 選取器,選擇您要設定的原則類型。 Azure Active Directory B2C 提供兩種方法來定義使用者如何與您的應用程式互動:透過預先定義的使用者流程,或透過完全可設定的自訂原則。 此文章中所需的步驟隨各方法而異。
先決條件
- 建立使用者流程,讓使用者能夠註冊並登入您的應用程式。
- 註冊 Web 應用程式。
- 完成開始使用 Active Directory B2C 中的自定義原則中的步驟。 本教學課程會引導您更新自定義原則檔案,以使用您的 Azure AD B2C 租用戶設定。
- 註冊 Web 應用程式。
建立Microsoft帳戶應用程式
若要在 Azure Active Directory B2C(Azure AD B2C)中啟用具有Microsoft帳戶的使用者登入,您必須在 Azure 入口網站中建立應用程式。 如需詳細資訊,請參閱使用 Microsoft 身分識別平台註冊應用程式。 如果您還沒有 Microsoft 帳戶,您可以在 https://www.live.com/ 獲得一個。
登入 Azure 入口網站。
如果您有多個租戶的存取權,請選取頂端功能表中的設定圖示,從目錄 + 訂用帳戶功能表切換至Microsoft Entra ID 租戶。
選擇 Azure 入口網站左上角 的 [所有服務 ],然後搜尋並選取 [ 應用程式註冊]。
選取新增註冊。
輸入應用程式的名稱。 例如 ,MSAapp1。
在 [支持的帳戶類型] 下,選取個人Microsoft帳戶(例如 Skype、Xbox)。
如需不同帳戶類型選取專案的詳細資訊,請參閱 快速入門:使用Microsoft身分識別平臺註冊應用程式。
在 [重新導向 URI(選擇性)] 下,選取 [Web ],然後輸入
https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/oauth2/authresp
。 如果您使用 自訂網域,請輸入https://your-domain-name/your-tenant-name.onmicrosoft.com/oauth2/authresp
。 將your-tenant-name
替換為您的 Azure AD B2C 租使用者名稱,並將your-domain-name
替換為您的自訂網域。選取 註冊
記錄應用程式 [概觀] 頁面上顯示的應用程式 (用戶端) 識別碼 。 在下一節中設定識別提供者時,您需要用戶端識別符。
選取 憑證和秘密
按兩下 [新增客戶端密碼]
輸入密碼 的描述 ,例如 應用程式密碼 1,然後按兩下 [ 新增]。
記錄 [ 值 ] 資料行中顯示的應用程式密碼。 在下一節中設定識別提供者時,您需要客戶端密碼。
將Microsoft設定為識別提供者
- 使用至少具有外部識別提供者系統管理員許可權的帳戶登入 Azure 入口網站。
- 如果您有多個租用戶的存取權,請使用頂端功能表中的 [設定] 圖示,從 [目錄 + 訂用帳戶] 功能表切換至您的 Azure AD B2C 租用戶。
- 選擇 Azure 入口網站左上角 的 [所有服務 ],搜尋並選取 [Azure AD B2C]。
- 選取 [識別提供者],然後選取 [Microsoft帳戶]。
- 輸入名稱。 例如MSA。
- 針對 [ 用戶端識別符],輸入您稍早建立之 Microsoft Entra 應用程式的應用程式 (client) 識別符。
- 對於用戶端密碼,請輸入您記錄的用戶端密碼。
- 選取 [儲存]。
將Microsoft識別提供者新增至使用者流程
此時,已設定 Microsoft 身分識別提供者,但尚未於任何登入頁面上使用。 若要將Microsoft識別提供者新增至使用者流程:
- 在您的 Azure AD B2C 租戶中,選取 使用者流程。
- 按一下您要新增 Microsoft 身分識別提供者的使用者流程。
- 在 [社交識別提供者] 底下,選取 [Microsoft帳戶]。
- 選取 [儲存]。
- 若要測試您的原則,請選取 [ 執行使用者流程]。
- 針對 [應用程式],選取您先前註冊的名為 testapp1 的Web應用程式。
Reply URL 應顯示
https://jwt.ms
。 - 選取 [ 執行使用者流程 ] 按鈕。
- 從 [註冊或登入] 頁面中,選取 [Microsoft 以Microsoft帳戶登入。
如果登入程式成功,您的瀏覽器會重新導向至 https://jwt.ms
,以顯示 Azure AD B2C 所傳回令牌的內容。
設定選擇性宣告
如果要從 Microsoft Entra ID 獲取 family_name
and given_name
聲明,可以在 Azure 門戶 UI 或應用程式清單中為應用程式設定可選聲明。 有關詳細資訊,請參閱 如何向 Microsoft Entra 應用提供可選聲明。
- 登入 Azure 入口網站。 搜尋並選取 Microsoft Entra ID。
- 從 [ 管理] 區段中,選取 [ 應用程式註冊]。
- 選取您要在清單中設定選擇性宣告的應用程式。
- 從 [管理] 區段中,選取 [令牌設定][預覽]。
- 選擇 新增選擇性的聲明。
- 選取您想要設定的令牌類型。
- 選取要新增的選擇性宣告。
- 按下 新增。
建立原則金鑰
既然您已在 Microsoft Entra 租使用者中建立應用程式,您必須將該應用程式的用戶端密碼儲存在 Azure AD B2C 租使用者中。
- 登入 Azure 入口網站。
- 如果您有多個租用戶的存取權,請使用頂端功能表中的 [設定] 圖示,從 [目錄 + 訂用帳戶] 功能表切換至您的 Azure AD B2C 租用戶。
- 選擇 Azure 入口網站左上角 的 [所有服務 ],然後搜尋並選取 [Azure AD B2C]。
- 在 [概觀] 頁面上,選取 [ 身分識別體驗架構]。
- 選取 [原則密鑰 ],然後選取 [ 新增]。
- 針對 [選項],選擇
Manual
。 - 輸入政策金鑰的名稱。 例如:
MSASecret
。 前置詞B2C_1A_
會自動新增至金鑰的名稱。 - 在 [ 秘密] 中,輸入您在上一節中記錄的客戶端密碼。
- 針對 [ 金鑰使用方式],選取
Signature
。 - 點擊 建立。
將Microsoft設定為識別提供者
為了讓使用者能夠使用 Microsoft 帳戶登入,您必須將該帳戶定義為一個可以透過端點與 Azure AD B2C 通訊的宣告提供者。 端點提供一組宣告,供 Azure AD B2C 用來驗證特定使用者已驗證。
您可以將 Microsoft Entra ID 定義為宣告提供者,方法是在您的政策擴充檔案中新增 ClaimsProvider 元素。
開啟 TrustFrameworkExtensions.xml 原則檔案。
尋找 ClaimsProviders 元素。 如果不存在,請在根元素底下新增它。
新增 ClaimsProvider ,如下所示:
<ClaimsProvider> <Domain>live.com</Domain> <DisplayName>Microsoft Account</DisplayName> <TechnicalProfiles> <TechnicalProfile Id="MSA-MicrosoftAccount-OpenIdConnect"> <DisplayName>Microsoft Account</DisplayName> <Protocol Name="OpenIdConnect" /> <Metadata> <Item Key="ProviderName">https://login.live.com</Item> <Item Key="METADATA">https://login.live.com/.well-known/openid-configuration</Item> <Item Key="response_types">code</Item> <Item Key="response_mode">form_post</Item> <Item Key="scope">openid profile email</Item> <Item Key="HttpBinding">POST</Item> <Item Key="UsePolicyInRedirectUri">false</Item> <Item Key="client_id">Your Microsoft application client ID</Item> </Metadata> <CryptographicKeys> <Key Id="client_secret" StorageReferenceId="B2C_1A_MSASecret" /> </CryptographicKeys> <OutputClaims> <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid" /> <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" /> <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" /> <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" /> <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" /> <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" /> <OutputClaim ClaimTypeReferenceId="email" /> </OutputClaims> <OutputClaimsTransformations> <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" /> <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" /> <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" /> <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" /> </OutputClaimsTransformations> <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" /> </TechnicalProfile> </TechnicalProfiles> </ClaimsProvider>
將 client_id 的值取代為您稍早記錄的 Microsoft Entra 應用程式的 Application (client) 識別碼 。
儲存檔案。
您現在已設定您的原則,使 Azure AD B2C 知道如何與 Microsoft Entra ID 中的 Microsoft 帳戶應用程式進行通訊。
新增使用者旅程圖
此時,身份提供者已設定,但尚未在任何登入頁面中可用。 如果您沒有自己的自定義使用者旅程圖,請建立現有範本使用者旅程圖的重複項目,否則請繼續進行下一個步驟。
- 從入門套件開啟 TrustFrameworkBase.xml 檔案。
- 尋找並複製包含 之
Id="SignUpOrSignIn"
元素的整個內容。 - 開啟 TrustFrameworkExtensions.xml 並尋找 UserJourneys 元素。 如果元素不存在,新增一個。
- 貼上您複製的 UserJourney 元素作為 UserJourneys 元素子元素的整個內容。
- 重新命名使用者旅程的識別碼。 例如:
Id="CustomSignUpSignIn"
。
將識別提供者新增至使用者旅程圖
現在您已擁有使用者旅程圖,請將新的識別提供者新增至使用者旅程圖。 您必須先新增登入按鈕,然後將按鈕連結至動作。 動作項目是您稍早建立的技術配置檔。
尋找使用者旅程中包含
Type="CombinedSignInAndSignUp"
或Type="ClaimsProviderSelection"
的協調流程步驟元素。 通常是第一個編排流程步驟。 ClaimsProviderSelections 元素包含使用者可以登入的識別提供者清單。 元素的順序會控制向用戶呈現的登入按鈕順序。 新增 ClaimsProviderSelection XML 元素。 將 TargetClaimsExchangeId 的值設定為易記名稱。在下一個協調流程步驟中,新增 ClaimsExchange 元素。 將標識碼設定為目標宣告交換的標識碼值。更新TechnicalProfileReferenceId的值為您稍早建立的技術配置檔之標識碼。
下列 XML 示範使用者旅程圖的前兩個協調流程步驟與識別提供者:
<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
<ClaimsProviderSelections>
...
<ClaimsProviderSelection TargetClaimsExchangeId="MicrosoftAccountExchange" />
</ClaimsProviderSelections>
...
</OrchestrationStep>
<OrchestrationStep Order="2" Type="ClaimsExchange">
...
<ClaimsExchanges>
<ClaimsExchange Id="MicrosoftAccountExchange" TechnicalProfileReferenceId="MSA-MicrosoftAccount-OpenIdConnect" />
</ClaimsExchanges>
</OrchestrationStep>
設定信賴憑證者原則
例如 SignUpSignIn.xml 的信賴方政策,指定 Azure AD B2C 將執行的使用者流程。 尋找信賴憑證者內的DefaultUserJourney元素。 更新 ReferenceId 以符合您新增識別提供者的使用者旅程圖標識碼。
在下列範例中 CustomSignUpSignIn
,針對使用者旅程圖, ReferenceId 會設定為 CustomSignUpSignIn
:
<RelyingParty>
<DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
...
</RelyingParty>
上傳自定義原則
- 登入 Azure 入口網站。
- 在入口網站工具列中選取 [目錄 + 訂 用帳戶] 圖示,然後選取包含 Azure AD B2C 租使用者的目錄。
- 在 Azure 入口網站中,搜尋並選取 [Azure AD B2C]。
- 在 [ 原則] 底下,選取 [ 身分識別體驗架構]。
- 選取 [上傳自定義原則],然後上傳您變更的兩個原則檔案,順序如下:擴充原則,例如
TrustFrameworkExtensions.xml
,然後是信賴憑證者原則,例如SignUpSignIn.xml
。
測試您的自定義原則
- 選取您的受信方政策,例如
B2C_1A_signup_signin
。 - 針對 [應用程式],選取您 先前註冊的 Web 應用程式。
Reply URL 應顯示
https://jwt.ms
。 - 選取 [ 立即執行] 按鈕。
- 從 [註冊或登入] 頁面中,選取 [Microsoft 以Microsoft帳戶登入。
如果登入程式成功,您的瀏覽器會重新導向至 https://jwt.ms
,以顯示 Azure AD B2C 所傳回令牌的內容。