パスキー認証用に Azure Active Directory B2C を使用して送信セキュリティを構成する

• Microsoft Entra サブスクリプション。 お持ちでない場合は、 無料アカウントを入手してください。
• Entra サブスクリプションにリンクされている Azure AD B2C テナント。
• Azure AD B2C テナントに登録されている Web アプリケーション。
• Transmit Security テナント。 transmitsecurity.com に移動します。

• Microsoft Entra サブスクリプション。 お持ちでない場合は、 無料アカウントを入手してください。
• Entra サブスクリプションにリンクされている Azure AD B2C テナント。
• Azure AD B2C テナントに登録されている Web アプリケーション。
• Azure AD B2C カスタム ポリシー。
• Transmit Security テナント。 transmitsecurity.com に移動します。

手順 3: ID プロバイダーとして Transmit を追加する

ユーザーが Transmit Security でサインインできるようにするには、新しい ID プロバイダーとして Transmit Security を構成します。 Azure AD B2C では、次の手順に従います。

1. 少なくとも B2C IEF ポリシー管理者として Azure portal にサインインします。

2. ポータルのツール バーで、[ ディレクトリとサブスクリプション] を選択します。

3. ポータルの 設定 |[ディレクトリとサブスクリプション ] ページの [ディレクトリ名 ] 一覧で、Azure AD B2C ディレクトリを見つけて、[ 切り替え] を選択します。

4. Azure サービスで、Azure AD B2C を選択します (または[その他のサービス] を選択し、[すべてのサービス] 検索ボックスを使用して Azure AD B2C を検索します)。

5. [ID プロバイダー] を選択し、[新しい OpenID Connect プロバイダー] を選択します。

6. 次のようにプロバイダーを構成します。

   プロパティ	説明
   名前	Transmit Security などの名前
   メタデータ URL	https://api.transmitsecurity.io/cis/oidc/.well-known/openid-configuration
   クライアント ID	送信によって提供されるクライアント ID
   クライアント シークレット	Transmit によって提供されるクライアント シークレット
   スコープ	openid email
   応答の種類	コード
   応答モード	form_post
   表示名	email
   電子メール	email

7. 保存 を選択します。

手順 4: ユーザー フローを作成する

この時点で、送信セキュリティ ID プロバイダーは設定されていますが、どのサインイン ページでもまだ使用できません。 ユーザー フローに送信セキュリティ ID プロバイダーを追加するには:

1. Azure AD B2C テナントの [ ポリシー] で、[ ユーザー フロー] を選択します。
2. [ 新しいユーザー フロー] を選択します。
3. [ サインアップとサインイン ユーザー フローの種類] を選択し、[ 作成] を選択します。
4. ユーザー フローの名前 (signupsignin など) を入力します。
5. アイデンティティプロバイダーの下で、以下の手順に従ってください。
   • [ローカル アカウント] で、[なし] を選択します。
   • カスタム ID プロバイダーの場合は、送信セキュリティ プロバイダーを選択します。
6. [ 作成] を選択してユーザー フローを追加します。

手順 5: ユーザー フローをテストする

1. Azure AD B2C テナントで、[ ユーザー フロー] を選択します。
2. 作成したユーザー フロー (B2C_1_signupsigninなど) を選択します。
3. [ ユーザー フローの実行] を選択します。
   • [ アプリケーション] で、登録済みの Web アプリケーションを選択します。
   • [ 応答 URL] で、[ https://jwt.ms] を選択します。
4. ユーザー フローを実行する を選択します。
5. ブラウザーは、Transmit のサインイン ページにリダイレクトされます。
6. サインイン フローを完了します。アカウントの電子メールを入力し、生体認証 (指紋など) を使用して認証します。
7. ブラウザーは、Azure AD B2C トークンを使用して https://jwt.ms にリダイレクトされます。

手順 3: ポリシー キーを作成する

以前に Azure AD B2C テナントに記録した Transmit アプリケーションのクライアント シークレットを格納する必要があります。

1. Azure portal にサインインします。

2. ポータルのツール バーで、[ ディレクトリとサブスクリプション] を選択します。

3. ポータルの 設定 |[ディレクトリとサブスクリプション ] ページの [ディレクトリ名 ] 一覧で、Azure AD B2C ディレクトリを見つけて、[ 切り替え] を選択します。

4. [概要] ページの [ ポリシー] で、[ Identity Experience Framework] を選択します。

5. [ポリシー キー] を選択してから、[追加] を選択します。

6. ポリシー キーを次のように構成します。

   プロパティ	説明
   [オプション]	手動
   名前	ポリシー キー名 (TransmitClientSecret など)
   シークレット	Transmit によって提供されるクライアント シークレット
   キー使用法	署名

7. [ 作成] を選択してポリシー キーを追加します。

手順 4: アイデンティティプロバイダーとしてTransmitを追加する

Transmit Security でのサインインを有効にするには、Azure AD B2C がエンドポイントを介して通信するクレーム プロバイダーとして、Transmit Security を定義します。 エンドポイントは、デバイス上のデジタル ID で認証されたユーザーを検証するために Azure AD B2C によって使用される要求を提供します。

送信セキュリティは、ポリシーの拡張ファイルの ClaimsProviders 要素に追加することで、要求プロバイダーとして定義できます。

1. GitHub からカスタム ポリシー スターター パックを取得し、SocialAndLocalAccounts スターター パックの XML ファイルを Azure AD B2C テナント名で更新します。

   1. .zip ファイルをダウンロード するか、リポジトリを複製します。

      git clone https://github.com/Azure-Samples/active-directory-b2c-custom-policy-starterpack
      

   2. LocalAccounts ディレクトリ内のファイルで、yourtenant文字列を Azure AD B2C テナント名に置き換えます。

2. LocalAccounts/ TrustFrameworkExtensions.xml を開きます。

3. ClaimsProviders 要素を検索します。 表示されない場合は、ルート要素の下に追加します。

4. 次の例のような新しい ClaimsProvider を追加します。

    <ClaimsProvider>
        <Domain>api.transmitsecurity.io</Domain>
        <DisplayName>Transmit</DisplayName>
        <TechnicalProfiles>
          <TechnicalProfile Id="TS-OpenIdConnect">
            <DisplayName>Transmit</DisplayName>
            <Protocol Name="OpenIdConnect" />
            <Metadata>
              <Item Key="METADATA">https://api.transmitsecurity.io/cis/oidc/.well-known/openid-configuration</Item>
               <!-- Update the Client ID below to the Transmit Security client ID -->
              <Item Key="client_id">00001111-aaaa-2222-bbbb-3333cccc4444</Item>
              <Item Key="response_types">code</Item>
              <Item Key="scope">openid email</Item>
              <Item Key="response_mode">form_post</Item>
              <Item Key="HttpBinding">POST</Item>
              <Item Key="UsePolicyInRedirectUri">false</Item>
              <Item Key="AccessTokenResponseFormat">json</Item>
            </Metadata>
            <CryptographicKeys>
              <Key Id="client_secret" StorageReferenceId="B2C_1A_TransmitClientSecret" />
            </CryptographicKeys>
            <OutputClaims>
              <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="sub" />
              <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
              <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
              <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
            </OutputClaims>
            <OutputClaimsTransformations>
              <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
              <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
              <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
            </OutputClaimsTransformations>
            <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
          </TechnicalProfile>
        </TechnicalProfiles>
      </ClaimsProvider>    
   

5. 送信セキュリティ クライアント ID を使用して client_id を設定します。

6. client_secret セクションを、作成したポリシー キーの名前 (たとえば、B2C_1A_TransmitClientSecret) で更新します。

   <Key Id="client_secret" StorageReferenceId="B2C_1A_TransmitClientSecret" />
   

7. 保存 を選択します。

手順 5: ユーザー体験を追加する

この時点で、ID プロバイダーは設定されていますが、どのサインイン ページでもまだ使用できません。 カスタム ユーザー ジャーニーがある場合は、ユーザー ジャーニーへの 伝達を追加する手順へ 進みます。 それ以外の場合は、重複するテンプレート ユーザー体験を作成します。

1. スターター パックから、 LocalAccounts/ TrustFrameworkBase.xml ファイルを開きます。
2. を含む Id=SignUpOrSignIn 要素の内容を検索してコピーします。
3. LocalAccounts/ TrustFrameworkExtensions.xml を開きます。
4. UserJourneys 要素を見つけます。 要素がない場合は、要素を追加します。
5. UserJourney 要素を UserJourneys 要素の子として貼り付けます。
6. ユーザー体験 ID の名前を変更します (例: Id=TransmitSUSI)

手順 6: ユーザー体験に送信を追加する

新しい ID プロバイダーをユーザー体験に追加します。

1. ユーザー体験に Type=CombinedSignInAndSignUpまたは Type=ClaimsProviderSelection を含むオーケストレーション ステップ要素を見つけます。 通常は、オーケストレーションの最初の手順です。 ClaimsProviderSelections 要素には、ユーザーがサインインする ID プロバイダーの一覧があります。 要素の順序は、サインイン ボタンの順序を制御します。
2. ClaimsProviderSelection XML 要素を追加します。
3. TargetClaimsExchangeId の値をフレンドリ名に設定します。
4. ClaimsExchange 要素を追加します。
5. Id をターゲット要求交換 ID の値に設定します。
6. TechnicalProfileReferenceId の値を、作成した技術プロファイル ID に更新します。

次の XML は、ID プロバイダーとのオーケストレーション ユーザー体験を示しています。

    <OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
      <ClaimsProviderSelections>
        ...
        <ClaimsProviderSelection TargetClaimsExchangeId="TSIDExchange" />
      </ClaimsProviderSelections>
      ...
    </OrchestrationStep>

    <OrchestrationStep Order="2" Type="ClaimsExchange">
      ...
      <ClaimsExchanges>
        <ClaimsExchange Id="TSIDExchange" TechnicalProfileReferenceId="TS-OpenIdConnect" />
      </ClaimsExchanges>
    </OrchestrationStep>

手順 7: 証明書利用者ポリシーを構成する

証明書利用者ポリシー ( SignUpSignIn.xmlなど) は、Azure AD B2C が実行するユーザー体験を指定します。 証明書利用者内の DefaultUserJourney 要素を検索します。 追加した ID プロバイダーのユーザージャーニー ID と一致するように ReferenceId を更新します。

次の例では、 TransmitSUSI ユーザー体験の ReferenceId が TransmitSUSIに設定されています。

  <RelyingParty>
    <DefaultUserJourney ReferenceId="TransmitSUSI" />
    <TechnicalProfile Id="TS-OpenIdConnect">
      <DisplayName>PolicyProfile</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="displayName" />
        <OutputClaim ClaimTypeReferenceId="givenName" />
        <OutputClaim ClaimTypeReferenceId="surname" />
        <OutputClaim ClaimTypeReferenceId="email" />
        <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
        <OutputClaim ClaimTypeReferenceId="identityProvider" />
        <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      </OutputClaims>
      <SubjectNamingInfo ClaimType="sub" />
    </TechnicalProfile>
  </RelyingParty>

手順 8: カスタム ポリシーをアップロードする

Azure AD B2C テナントでディレクトリを使用して、カスタム ポリシーをアップロードします。

1. Azure portal にサインインします。
2. ポータルのツール バーで、[ ディレクトリとサブスクリプション] を選択します。
3. ポータルの 設定 |[ディレクトリとサブスクリプション ] ページの [ディレクトリ名 ] 一覧で、Azure AD B2C ディレクトリを見つけて、[ 切り替え] を選択します。
4. [ ポリシー] で、[ Identity Experience Framework] を選択します。
5. [ カスタム ポリシーのアップロード] を選択し、更新されたファイルを次の順序でアップロードします。

• 基本ポリシー (例: TrustFrameworkBase.xml
• ローカライズ ポリシー (例: TrustFrameworkLocalization.xml
• 拡張機能ポリシー (例: TrustFrameworkExtensions.xml
• 依存先パーティ ポリシー (例: SignUpOrSignIn.xml など)

手順 9: カスタム ポリシーをテストする

Azure AD B2C テナントでディレクトリを使用して、カスタム ポリシーをテストします。

1. Azure AD B2C テナントで、[ ポリシー] で [ Identity Experience Framework] を選択します。
2. [ カスタム ポリシー] で、[ B2C_1A_signup_signin] を選択します。
3. [ アプリケーション] で、登録した Web アプリケーションを選択します。 応答 URL がhttps://jwt.ms。
4. [今すぐ実行] を選択します。
5. ブラウザーは、Transmit のサインイン ページにリダイレクトされます。
6. サインイン フローを完了します。アカウントの電子メールを入力し、生体認証 (指紋など) を使用して認証します。
7. ブラウザーは、Azure AD B2C トークンを使用して https://jwt.ms にリダイレクトされます。