Configuración de tokens en Azure Active Directory B2C

• Cree un flujo de usuario para que los usuarios se registren e inicien sesión en la aplicación.
• Registre una aplicación web.

• Siga los pasos de Introducción a las directivas personalizadas en Active Directory B2C. En este tutorial se explica cómo actualizar archivos de directiva personalizados para usar la configuración del inquilino de Azure AD B2C.
• Registre una aplicación web.

Para configurar la duración del token de flujo de usuario:

1. Inicie sesión en Azure Portal.
2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.
3. Elija Todos los servicios en la esquina superior izquierda de Azure Portal y busque y seleccione Azure AD B2C.
4. Seleccione Flujos de usuario (políticas).
5. Abra el flujo de usuario que creó anteriormente.
6. Selecciona Propiedades.
7. En Duración del token, ajuste las propiedades para que se ajusten a las necesidades de la aplicación.
8. Haga clic en Guardar.

Para cambiar la configuración de la compatibilidad de los tokens, establezca los metadatos del perfil técnico del Emisor del token en la extensión, o el archivo del usuario de confianza de la directiva a la que desea que afecte. El perfil técnico del emisor de tokens tiene el siguiente aspecto:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

Los valores siguientes se establecen en el ejemplo anterior:

• token_lifetime_secs : duración del token de acceso (segundos). El valor predeterminado es 3600 (1 hora). El mínimo es 300 (5 minutos). El máximo es 86.400 (24 horas).
• id_token_lifetime_secs: duración del token de identificador (segundos). El valor predeterminado es 3600 (1 hora). El mínimo es 300 (5 minutos). El máximo es 86.400 (24 horas).
• refresh_token_lifetime_secs: duración de los tokens de actualización (segundos). El valor predeterminado es 1.209.600 (14 días). El mínimo es 86.400 (24 horas). El máximo es 7.776.000 (90 días).
• rolling_refresh_token_lifetime_secs: duración de la ventana deslizante de los tokens de actualización (segundos). El valor predeterminado es 776 000 (90 días). El mínimo es 86.400 (24 horas). El máximo es 31.536.000 (365 días). Si no desea aplicar una duración de ventana deslizante, establezca el valor de allow_infinite_rolling_refresh_token en true.
• allow_infinite_rolling_refresh_token: la duración de la ventana deslizante de los token de actualización nunca expira.

Para configurar los valores de compatibilidad del flujo de usuario:

1. Seleccione Flujos de usuario (políticas).
2. Abra el flujo de usuario que creó anteriormente.
3. Selecciona Propiedades.
4. En Configuración de compatibilidad de tokens, ajuste las propiedades para adaptarse a las necesidades de la aplicación.
5. Haga clic en Guardar.

Para cambiar la configuración de la compatibilidad de los tokens, establezca los metadatos del perfil técnico del Emisor del token en la extensión, o el archivo del usuario de confianza de la directiva a la que quiere actualizar. El perfil técnico del emisor de tokens tiene el siguiente aspecto:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Reclamación issuer (iss): La reclamación issuer (iss) se establece con el elemento de metadatos IssuanceClaimPattern. Los valores aplicables son AuthorityAndTenantGuid y AuthorityWithTfp.

• Configuración de notificación que representa el identificador de directiva: las opciones para configurar este valor son TFP (directiva de plataforma de confianza) y ACR (referencia de contexto de autenticación). TFP es el valor recomendado. Establezca AuthenticationContextReferenceClaimPattern con el valor de None.

  En el elemento ClaimsSchema , agregue este elemento:

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  En la directiva de usuario de confianza, en el elemento OutputClaims, agregue la siguiente notificación de salida:

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  Para ACR, elimine el elemento AuthenticationContextReferenceClaimPattern.

• Reclamación de asunto (sub) - esta opción tiene como valor predeterminado ObjectID; si desea cambiar esta configuración a Not Supported, reemplace esta línea:

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  con esta línea:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Seleccione Flujos de usuario (políticas).
2. Abra el flujo de usuario que creó anteriormente.
3. Seleccione Notificaciones de aplicación.
4. Elija los reclamos y atributos que desea enviar de vuelta a su aplicación.
5. Haga clic en Guardar.

Las notificaciones de salida del perfil técnico de la directiva del usuario de confianza son valores que se devuelven a una aplicación. La adición de notificaciones de salida enviará la notificación al token después de un recorrido del usuario correcto y se enviará a la aplicación. Modifique el elemento de perfil técnico dentro de la sección de parte dependiente para agregar las reclamaciones deseadas como una reclamación de salida.

1. Abra el archivo de directiva personalizado. Por ejemplo, SignUpOrSignin.xml.
2. Busque el elemento OutputClaims. Agregue el OutputClaim que desea incluir en el token.
3. Establezca los atributos de la notificaciones de salida.

En el ejemplo siguiente se agrega la accountBalance reclamación. La reclamación accountBalance se envía a la aplicación como saldo.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

El elemento OutputClaim contiene los atributos siguientes:

• ClaimTypeReferenceId : identificador de un tipo de notificación ya definido en la sección ClaimsSchema del archivo de directiva o del archivo de directiva primario.
• PartnerClaimType: permite cambiar el nombre de la reclamación en el token.
• DefaultValue : valor predeterminado. También puede establecer el valor predeterminado para un resolutor de reclamaciones, como el identificador de arrendatario.
• AlwaysUseDefaultValue : fuerza el uso del valor predeterminado.