Konfigurowanie tokenów w usłudze Azure Active Directory B2C

• Utwórz przepływ użytkownika, aby użytkownicy mogli zarejestrować się i zalogować do aplikacji.
• Rejestrowanie aplikacji internetowej.

• Wykonaj kroki opisane w Jak rozpocząć z zasadami niestandardowymi w usłudze Active Directory B2C. W tym samouczku przedstawiono sposób aktualizowania niestandardowych plików zasad, aby korzystać z konfiguracji kont usługi Azure AD B2C.
• Rejestrowanie aplikacji internetowej.

Aby skonfigurować okres ważności tokenu przepływu użytkowników:

1. Zaloguj się do witryny Azure Portal.
2. Jeśli masz dostęp do wielu dzierżaw, wybierz ikonę Ustawienia w górnym menu, aby przełączyć się na dzierżawę Azure AD B2C z menu Katalogi + subskrypcje.
3. Wybierz pozycję Wszystkie usługi w lewym górnym rogu witryny Azure Portal, a następnie wyszukaj i wybierz pozycję Azure AD B2C.
4. Wybierz Przepływy użytkownika (polityki)..
5. Otwórz przepływ użytkownika, który utworzyłeś wcześniej.
6. Wybierz Właściwości.
7. W obszarze Okres istnienia tokenu dostosuj właściwości do potrzeb aplikacji.
8. Wybierz Zapisz.

Aby zmienić ustawienia zgodności tokenu, należy ustawić metadane profilu technicznego wystawcy tokenu w rozszerzeniu lub w pliku polityki strony polegającej, na którą chcesz wpłynąć. Profil techniczny wystawcy tokenu wygląda następująco:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

W poprzednim przykładzie ustawiono następujące wartości:

• token_lifetime_secs — okresy istnienia tokenu dostępu (w sekundach). Wartość domyślna to 3600 (1 godzina). Wartość minimalna to 300 (5 minut). Maksymalna wartość to 86 400 (24 godziny).
• id_token_lifetime_secs — okresy istnienia tokenu identyfikatora (w sekundach). Wartość domyślna to 3600 (1 godzina). Wartość minimalna to 300 (5 minut). Maksymalna wartość to 86 400 (24 godziny).
• refresh_token_lifetime_secs Odświeżanie okresów istnienia tokenu (w sekundach). Wartość domyślna to 1209 600 (14 dni). Wartość minimalna to 86 400 (24 godziny). Maksymalna wartość to 776 000 (90 dni).
• rolling_refresh_token_lifetime_secs — czas życia ruchomego okna tokenu odświeżania (w sekundach). Wartość domyślna to 776 000 (90 dni). Wartość minimalna to 86 400 (24 godziny). Maksymalna wartość to 31 536 000 (365 dni). Jeśli nie chcesz wymuszać okresu istnienia okna przewijania, ustaw wartość allow_infinite_rolling_refresh_token na true.
• allow_infinite_rolling_refresh_token — czas życia okna przesuwnego dla tokenu odświeżania nigdy nie wygasa.

Aby skonfigurować ustawienia zgodności przepływu użytkownika:

1. Wybierz Przepływy użytkownika (polityki)..
2. Otwórz przepływ użytkownika, który utworzyłeś wcześniej.
3. Wybierz Właściwości.
4. W obszarze Ustawienia zgodności tokenów dostosuj właściwości do potrzeb aplikacji.
5. Wybierz Zapisz.

Aby zmienić ustawienia zgodności tokenu, należy ustawić metadane profilu technicznego wystawcy tokenu w rozszerzeniu lub pliku uczestnika polityki, które wymagają aktualizacji. Profil techniczny wystawcy tokenu wygląda następująco:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Oświadczenie wystawcy (iss) — oświadczenie wystawcy ( iss) jest ustawione z elementem metadanych IssuerClaimPattern . Odpowiednie wartości to AuthorityAndTenantGuid i AuthorityWithTfp.

• Ustawianie oświadczenia reprezentującego identyfikator polityki — opcje ustawiania tej wartości to TFP (polityka ramowa zaufania) i ACR (odwołanie kontekstu uwierzytelniania). TFP jest zalecaną wartością. Ustaw właściwość AuthenticationContextReferenceClaimPattern na wartość None.

  W elemecie ClaimsSchema dodaj następujący element:

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  W zasadach jednostki uzależnionej w obszarze Elementu OutputClaims dodaj następujące oświadczenie wyjściowe:

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  W przypadku ACR usuń element AuthenticationContextReferenceClaimPattern.

• Oświadczenie podmiotu (sub) — ta opcja jest domyślnie ustawiona na ObjectID; jeśli chcesz zmienić to ustawienie na Not Supported, zastąp ten wiersz:

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  z tą linią:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Wybierz Przepływy użytkownika (polityki)..
2. Otwórz przepływ użytkownika, który utworzyłeś wcześniej.
3. Wybierz pozycję Oświadczenia aplikacji.
4. Wybierz oświadczenia i atrybuty, które chcesz wysłać z powrotem do aplikacji.
5. Wybierz Zapisz.

Oświadczenia wyjściowe profilu technicznego zasad jednostki uzależnionej to wartości zwracane do aplikacji. Dodanie oświadczeń wyjściowych spowoduje wysłanie oświadczeń do tokenu po pomyślnej podróży użytkownika i zostanie wysłane do aplikacji. Zmodyfikuj element profilu technicznego w sekcji jednostki uzależnionej, aby dodać żądane oświadczenia jako oświadczenie wyjściowe.

1. Otwórz plik polityki niestandardowej. Na przykład SignUpOrSignin.xml.
2. Znajdź element OutputClaims. Dodaj element OutputClaim, który chcesz uwzględnić w tokenie.
3. Ustaw atrybuty oświadczenia wyjściowego.

Poniższy przykład dodaje accountBalance żądanie. Oświadczenie accountBalance jest wysyłane do aplikacji jako saldo.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

Element OutputClaim zawiera następujące atrybuty:

• ClaimTypeReferenceId — identyfikator typu oświadczenia już zdefiniowany w sekcji ClaimsSchema w pliku zasad lub pliku zasad nadrzędnych.
• PartnerClaimType — umożliwia zmianę nazwy roszczenia w tokenie.
• DefaultValue — wartość domyślna. Można również ustawić wartość domyślną na rozpoznawanie oświadczeń, na przykład identyfikator dzierżawy.
• AlwaysUseDefaultValue — wymusza użycie wartości domyślnej.