Compartir a través de

Definición de un perfil técnico de autenticación multifactor de Id. de Microsoft Entra en una directiva personalizada de Azure AD B2C

Importante

A partir del 1 de mayo de 2025, Azure AD B2C ya no estará disponible para la compra por parte de nuevos clientes. Obtenga más información en nuestras preguntas más frecuentes.

Azure Active Directory B2C (Azure AD B2C) proporciona compatibilidad para comprobar un número de teléfono mediante un código de verificación o comprobar un código de contraseña de un solo uso (TOTP) basado en tiempo.

Protocolo

El atributo Name del elemento Protocol tiene que establecerse en Proprietary. El atributo handler debe contener el nombre completo del ensamblado del controlador de protocolo que usa Azure AD B2C:

Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de Id. de Microsoft Entra:

<TechnicalProfile Id="AzureMfa-SendSms">
    <DisplayName>Send Sms</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    ...

Comprobar el modo de teléfono

En el modo de verificación de teléfono, el perfil técnico genera y envía un código a un número de teléfono y, a continuación, comprueba el código. El perfil técnico de autenticación multifactor de Id. de Microsoft Entra también puede devolver un mensaje de error. El perfil técnico de validación valida los datos proporcionados por el usuario antes de que continúe el recorrido del usuario. Con el perfil técnico de validación, se muestra un mensaje de error en una página autoafirmada. El perfil técnico:

  • No proporciona una interfaz para interactuar con el usuario. En su lugar, se llama a la interfaz de usuario desde un perfil técnico autoafirmado o un control de visualización como perfil técnico de validación.
  • Usa el servicio de autenticación multifactor de Microsoft Entra para generar y enviar un código a un número de teléfono y, a continuación, comprueba el código.
  • Valida un número de teléfono a través de mensajes de texto.

El perfil técnico proporciona métodos para enviar el código de verificación a través del mensaje de texto SMS y comprobar el código. En la captura de pantalla siguiente se muestra el flujo del comprobador de teléfono.

Captura de pantalla que muestra el flujo TOTP

Envío de SMS

Para comprobar un teléfono, el primer paso genera un código y lo envía al número de teléfono. Las siguientes opciones se pueden configurar para este paso.

Notificaciones de entrada

El elemento InputClaims contiene una lista de notificaciones que se van a enviar a la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
userPrincipalName Sí Identificador del usuario que posee el número de teléfono.
phoneNumber Sí Número de teléfono al que se va a enviar un código SMS.
companyName No Nombre de la compañía en el SMS. Si no se proporciona, se usa el nombre de la aplicación.
locale No Configuración regional del SMS. Si no se proporciona, se usa la configuración regional del explorador del usuario.

Notificaciones de salida

El proveedor de protocolos de autenticación multifactor de Microsoft Entra no devuelve ninguna notificación de salida, por lo que no es necesario especificar notificaciones de salida.

Metadatos

El elemento Metadata contiene el atributo siguiente.

Atributo Obligatorio Descripción
Operation Sí Debe ser OneWaySMS.
Elementos de la UI

Los metadatos siguientes se pueden usar para configurar los mensajes de error que se muestran al enviar un error de SMS. Los metadatos deben configurarse en el perfil técnico autoafirmado . Los mensajes de error se pueden localizar.

Atributo Obligatorio Descripción
UserMessageIfCouldntSendSms No Mensaje de error de usuario si el número de teléfono proporcionado no acepta SMS.
UserMessageIfInvalidFormat No Mensaje de error de usuario si el número de teléfono proporcionado no es un número de teléfono válido.
UserMessageIfServerError No Mensaje de error de usuario si el servidor ha encontrado un error interno.
UserMessageIfThrottled No Mensaje de error de usuario si se ha limitado una solicitud.

Ejemplo: enviar un SMS

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de Id. de Microsoft Entra que se usa para enviar un código a través de SMS.

<TechnicalProfile Id="AzureMfa-SendSms">
  <DisplayName>Send Sms</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">OneWaySMS</Item>
  </Metadata>
  <InputClaimsTransformations>
    <InputClaimsTransformation ReferenceId="CombinePhoneAndCountryCode" />
    <InputClaimsTransformation ReferenceId="ConvertStringToPhoneNumber" />
  </InputClaimsTransformations>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
    <InputClaim ClaimTypeReferenceId="fullPhoneNumber" PartnerClaimType="phoneNumber" />
  </InputClaims>
</TechnicalProfile>

Verificar código

El paso comprobar código comprueba un código enviado al usuario. Las siguientes opciones se pueden configurar para este paso.

Notificaciones de entrada

El elemento InputClaims contiene una lista de notificaciones que se van a enviar a la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
phoneNumber Sí El mismo número de teléfono que se usó anteriormente para enviar un código. También se usa para localizar una sesión de verificación telefónica.
verificationCode Sí Código de verificación proporcionado por el usuario que se va a comprobar

Notificaciones de salida

El proveedor de protocolos de autenticación multifactor de Microsoft Entra no devuelve ninguna notificación de salida, por lo que no es necesario especificar notificaciones de salida.

Metadatos

El elemento Metadata contiene el atributo siguiente.

Atributo Obligatorio Descripción
Operation Sí Debe ser Verify.
Elementos de la UI

Los metadatos siguientes se pueden usar para configurar los mensajes de error que se muestran tras un error de comprobación de código. Los metadatos deben configurarse en el perfil técnico autoafirmado . Los mensajes de error se pueden localizar.

Atributo Obligatorio Descripción
UserMessageIfMaxAllowedCodeRetryReached No Mensaje de error de usuario si el usuario ha intentado un código de verificación demasiadas veces.
UserMessageIfServerError No Mensaje de error de usuario si el servidor ha encontrado un error interno.
UserMessageIfThrottled No Mensaje de error de usuario si la solicitud está limitada.
UserMessageIfWrongCodeEntered No Mensaje de error de usuario si el código especificado para la comprobación es incorrecto.

Ejemplo: comprobación de un código

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de id. de Microsoft Entra que se usa para comprobar el código.

<TechnicalProfile Id="AzureMfa-VerifySms">
    <DisplayName>Verify Sms</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    <Metadata>
        <Item Key="Operation">Verify</Item>
    </Metadata>
    <InputClaims>
        <InputClaim ClaimTypeReferenceId="phoneNumber" PartnerClaimType="phoneNumber" />
        <InputClaim ClaimTypeReferenceId="verificationCode" />
    </InputClaims>
</TechnicalProfile>

Modo TOTP

En este modo, el usuario debe instalar cualquier aplicación autenticadora que admita la comprobación de contraseña única (TOTP) basada en tiempo, como la aplicación Microsoft Authenticator, en un dispositivo que posee.

Durante el primer registro o inicio de sesión, el usuario escanea un código QR, abre un vínculo profundo o escribe el código manualmente mediante la aplicación autenticadora. Para comprobar el código TOTP, use el OTP Begin verify seguido de Verify TOTP validation technical profiles (Comprobar perfiles técnicos de validación de TOTP).

Para los inicios de sesión posteriores, use el método Obtener dispositivos disponibles para comprobar si el usuario ya ha inscrito su dispositivo. Si el número de dispositivos disponibles es mayor que cero, indica que el usuario se ha inscrito antes. En este caso, el usuario debe escribir el código TOTP que aparece en la aplicación autenticadora.

El perfil técnico:

  • No proporciona una interfaz para interactuar con el usuario. En su lugar, se llama a la interfaz de usuario desde un perfil técnico autoafirmado , con los controles de visualización TOTP.
  • Usa el servicio de autenticación multifactor de Microsoft Entra para validar el código TOTP.
  • Comprueba si un usuario ya ha inscrito su dispositivo.

En la captura de pantalla siguiente se muestra un flujo de comprobación y inscripción de TOTP. Comienza comprobando el número de dispositivos disponibles. Si el número de dispositivos disponibles es cero, el usuario pasa por el paso de orquestación de inscripción. De lo contrario, el usuario pasa por el paso de orquestación de comprobación.

Captura de pantalla que muestra el flujo TOTP.

Obtención de dispositivos disponibles

El modo obtener dispositivo disponible comprueba el número de dispositivos disponibles para el usuario. Si el número de dispositivos disponibles es cero, indica que el usuario aún no se ha inscrito.

Notificaciones de entrada

El elemento InputClaims contiene una lista de notificaciones que se van a enviar a la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
userPrincipalName Sí Nombre principal de usuario.

Notificaciones de salida

El elemento de notificaciones de salida contiene una lista de notificaciones que se van a devolver de la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
numberOfAvailableDevices Sí Número de dispositivos disponibles para el usuario.

Metadatos

El elemento Metadata contiene el atributo siguiente.

Atributo Obligatorio Descripción
Operation Sí Debe ser GetAvailableDevices.

Ejemplo: Obtener dispositivos disponibles

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de Id. de Microsoft Entra que se usa para obtener el número de dispositivos disponibles.

<TechnicalProfile Id="AzureMfa-GetAvailableDevices">
  <DisplayName>Get Available Devices</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">GetAvailableDevices</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="numberOfAvailableDevices" />
  </OutputClaims>
</TechnicalProfile>

Inicio de la comprobación de TOTP

La comprobación inicial de TOTP inicia el proceso de comprobación. Este perfil técnico de validación se llama desde el perfil técnico autoafirmado que presenta y comprueba los códigos TOTP. Este perfil técnico de validación debe ir seguido de una llamada a Verify TOTP validation technical profiles (Comprobar perfiles técnicos de validación de TOTP).

Notificaciones de entrada

El elemento InputClaims contiene una lista de notificaciones que se van a enviar a la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
userPrincipalName Sí Nombre principal de usuario.
objectId Sí Identificador del objeto de usuario.
secretKey Sí Clave secreta del usuario. Esta clave se almacena en el perfil del usuario en el directorio de Azure AD B2C y se comparte con la aplicación authenticator. La aplicación autenticadora usa el secreto para generar el código TOTP. Este perfil técnico usa el secreto para comprobar el código TOTP.

Notificaciones de salida

El proveedor de protocolos de autenticación multifactor de Microsoft Entra no devuelve ninguna notificación de salida, por lo que no es necesario especificar notificaciones de salida.

Metadatos

El elemento Metadata contiene el atributo siguiente.

Atributo Obligatorio Descripción
Operation Sí Debe ser BeginVerifyOTP.

Ejemplo: Begin verify TOTP

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de id. de Microsoft Entra que se usa para iniciar el proceso de comprobación de TOTP.

<TechnicalProfile Id="AzureMfa-BeginVerifyOTP">
  <DisplayName>Begin verify TOTP"</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">BeginVerifyOTP</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="secretKey" />
    <InputClaim ClaimTypeReferenceId="objectId" />
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
  </InputClaims>
</TechnicalProfile>

Comprobación de TOTP

El método verify TOTP comprueba un código TOTP. Este perfil técnico de validación se llama desde el perfil técnico autoafirmado que presenta y comprueba los códigos TOTP. Este perfil técnico de validación debe ir precedido de una llamada a los perfiles técnicos de validación de TOTP begin verify .

Notificaciones de entrada

El elemento InputClaims contiene una lista de notificaciones que se van a enviar a la autenticación multifactor de Microsoft Entra. También puede asignar el nombre de la notificación al nombre definido en el perfil técnico de MFA.

ClaimReferenceId Obligatorio Descripción
otpCode Sí Código TOTP proporcionado por el usuario.

Notificaciones de salida

El proveedor de protocolos de autenticación multifactor de Microsoft Entra no devuelve ninguna notificación de salida, por lo que no es necesario especificar notificaciones de salida.

Metadatos

El elemento Metadata contiene el atributo siguiente.

Atributo Obligatorio Descripción
Operation Sí Debe ser VerifyOTP.

Ejemplo: Comprobar TOTP

En el ejemplo siguiente se muestra un perfil técnico de autenticación multifactor de id. de Microsoft Entra que se usa para comprobar un código TOTP.

<TechnicalProfile Id="AzureMfa-VerifyOTP">
  <DisplayName>Verify OTP</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">VerifyOTP</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="otpCode" />
  </InputClaims>
</TechnicalProfile>

Pasos siguientes

  • Last updated on