Configurer des jetons dans Azure Active Directory B2C

• Créez un flux d’utilisateurs pour permettre aux utilisateurs de s’inscrire et de se connecter à votre application.
• Inscrire une application web.

• Suivez les étapes de Prise en main des stratégies personnalisées dans Active Directory B2C. Ce tutoriel vous explique comment mettre à jour des fichiers de stratégie personnalisés pour utiliser votre configuration de locataire Azure AD B2C.
• Inscrire une application web.

Pour configurer la durée de vie de votre jeton de flux utilisateur :

1. Connectez-vous au portail Azure.
2. Si vous avez accès à plusieurs tenants (locataires), sélectionnez l’icône Paramètres dans le menu supérieur pour basculer vers votre tenant Azure AD B2C à partir du menu Annuaires + abonnements.
3. Choisissez tous les services dans le coin supérieur gauche du portail Azure, puis recherchez et sélectionnez Azure AD B2C.
4. Sélectionnez Flux d’utilisateurs (stratégies).
5. Ouvrez le flux utilisateur que vous avez créé précédemment.
6. Sélectionnez Propriétés.
7. Sous durée de vie du jeton, ajustez les propriétés en fonction des besoins de votre application.
8. Cliquez sur Enregistrer.

Pour modifier les paramètres de compatibilité de votre jeton, définissez les métadonnées de profil technique de l’émetteur de jeton dans l’extension, ou le fichier de partie de confiance de la stratégie qui doit être affectée. Le profil technique de l’émetteur de jeton ressemble à l’exemple suivant :

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

Les valeurs suivantes sont définies dans l’exemple précédent :

• token_lifetime_secs - Durées de vie des jetons d’accès (secondes). La valeur par défaut est 3 600 (1 heure). Le minimum est de 300 (5 minutes). Le maximum est de 86 400 (24 heures).
• id_token_lifetime_secs - Durées de vie des jetons d’ID (secondes). La valeur par défaut est 3 600 (1 heure). Le minimum est de 300 (5 minutes). Le maximum est de 86 400 (24 heures).
• refresh_token_lifetime_secs : durée de vie de jeton d’actualisation (secondes). La valeur par défaut est 1 209 600 (14 jours). Le minimum est de 86 400 (24 heures). Le maximum est de 7 776 000 (90 jours).
• rolling_refresh_token_lifetime_secs - Durée de vie de la fenêtre glissante du jeton d’actualisation (secondes). La valeur par défaut est 7 776 000 (90 jours). Le minimum est de 86 400 (24 heures). Le maximum est de 31 536 000 (365 jours). Si vous ne souhaitez pas appliquer une durée de vie de fenêtre glissante, définissez la valeur sur allow_infinite_rolling_refresh_tokentrue.
• allow_infinite_rolling_refresh_token : la durée de vie de la fenêtre glissante du jeton d’actualisation n’expire jamais.

Pour configurer vos paramètres de compatibilité de flux utilisateur :

1. Sélectionnez Flux d’utilisateurs (stratégies).
2. Ouvrez le flux utilisateur que vous avez créé précédemment.
3. Sélectionnez Propriétés.
4. Sous Paramètres de compatibilité des jetons, ajustez les propriétés en fonction des besoins de votre application.
5. Cliquez sur Enregistrer.

Pour modifier les paramètres de compatibilité de votre jeton, vous définissez les métadonnées de profil technique de l’émetteur de jeton dans l’extension ou le fichier de partie de confiance de la stratégie que vous souhaitez mettre à jour. Le profil technique de l’émetteur de jeton ressemble à l’exemple suivant :

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Revendication de l'émetteur (iss) - La revendication de l'émetteur (iss) est définie avec l’élément de métadonnées IssuanceClaimPattern. Les valeurs applicables sont AuthorityAndTenantGuid et AuthorityWithTfp.

• Définition de la revendication représentant l’ID de stratégie : les options de définition de cette valeur sont TFP (stratégie d’infrastructure de confiance) et ACR (référence du contexte d’authentification). TFP est la valeur recommandée. Définissez AuthenticationContextReferenceClaimPattern avec la valeur de None.

  Dans l’élément ClaimsSchema , ajoutez cet élément :

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  Dans votre stratégie de partie de confiance, sous l’élément OutputClaims, ajoutez la revendication de sortie suivante :

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  Pour ACR, supprimez l’élément AuthenticationContextReferenceClaimPattern .

• Revendication de sujet (sub) : cette option est définie par défaut sur ObjectID. Si vous souhaitez que cette option soit définie sur Not Supported, remplacez cette ligne :

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  par cette ligne :

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Sélectionnez Flux d’utilisateurs (stratégies).
2. Ouvrez le flux utilisateur que vous avez créé précédemment.
3. Sélectionnez paramètres d’application.
4. Choisissez les revendications et les attributs que vous souhaitez renvoyer à votre application.
5. Cliquez sur Enregistrer.

Les revendications de sortie du profil technique de la stratégie de partie de confiance sont des valeurs qui sont retournées à une application. L’ajout de revendications de sortie émettra les revendications dans le jeton après un parcours utilisateur réussi et les enverra à l’application. Modifiez l’élément de profil technique dans la section de partie de confiance pour ajouter les revendications souhaitées en tant que revendication de sortie.

1. Ouvrez votre fichier de stratégie personnalisé. Par exemple, SignUpOrSignin.xml.
2. Recherchez l’élément OutputClaims. Ajoutez l'OutputClaim que vous souhaitez inclure dans le jeton.
3. Définissez les attributs de la revendication de sortie.

L’exemple suivant ajoute la accountBalance revendication. La revendication accountBalance est envoyée à l’application sous forme de solde.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

L’élément OutputClaim contient les attributs suivants :

• ClaimTypeReferenceId : identificateur d’un type de revendication déjà défini dans la section ClaimsSchema du fichier de stratégie ou du fichier de stratégie parent.
• PartnerClaimType : vous permet de modifier le nom de la revendication dans le jeton.
• DefaultValue : valeur par défaut. Vous pouvez également définir la valeur par défaut sur un programme de résolution de revendication, tel que l’ID de locataire.
• AlwaysUseDefaultValue : force l’utilisation de la valeur par défaut.