通过

基于漏斗的配置的 Azure Active Directory B2C 全局标识框架概念证明

  • 项目

以下部分介绍如何为基于漏斗的业务流程创建概念证明实现。 可在此处找到已完成的 Azure Active Directory B2C (Azure AD B2C) 自定义策略。

基于漏斗的方法

以下方块图展示了概念证明。 本指南将演示如何配置 Azure AD B2C 租户。 本指南不包括外部 API 层和异地分布式查找表。

屏幕截图显示了基于漏斗的方法的方块图。

漏斗租户

  1. 创建租户。

  2. 配置每个 Azure AD B2C 租户/策略组合的联合身份验证

  3. 配置映射到区域的 client_id - 使用查找声明转换进行仿真。

    <ClaimsTransformation Id="ClientIdToRegion" TransformationMethod="LookupValue">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="regionFromURL" TransformationClaimType="inputParameterId" />
  </InputClaims>
  <InputParameters>
    <InputParameter Id="0dd7579e-fb90-4178-bc36-77a3fe658683" DataType="string" Value="APAC" />
    <InputParameter Id="7e7f5403-b3d7-41cc-85fc-130ab6fd9361" DataType="string" Value="NOAM" />
    <InputParameter Id="4ea5d578-9c51-4091-96d1-58e15e98e9b9" DataType="string" Value="EMEA" />
    <InputParameter Id="errorOnFailedLookup" DataType="boolean" Value="false" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sendToRegion" TransformationClaimType="outputClaim" />
  </OutputClaims>
</ClaimsTransformation>

  4. 配置要基于client_id - 区域映射启用的联合身份验证。

    <TechnicalProfile Id="HRDLogic">
  <DisplayName>ParseDomainHint</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="IncludeClaimResolvingInClaimsHandling">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="regionFromURL" DefaultValue="{OIDC:ClientId}" AlwaysUseDefaultValue="true" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sendToRegion" />
    <OutputClaim ClaimTypeReferenceId="identityProviders" />
  </OutputClaims>
  <OutputClaimsTransformations>
    <OutputClaimsTransformation ReferenceId="ClientIdToRegion" />
    <OutputClaimsTransformation ReferenceId="CreateidentityProvidersCollection" />
  </OutputClaimsTransformations>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

区域租户

  1. 创建租户。

  2. 创建应用程序注册以与漏斗租户建立联合。

登录

  1. 通过全局查找表配置从标识符到区域的查找，使用查找声明转换进行仿真。

    <ClaimsTransformation Id="UserIdToRegion" TransformationMethod="LookupValue">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="inputParameterId" />
  </InputClaims>
  <InputParameters>
    <InputParameter Id="bob@noam.com" DataType="string" Value="NOAM" />
    <InputParameter Id="bob@noam1.com" DataType="string" Value="NOAM" />
    <InputParameter Id="john@emea.com" DataType="string" Value="EMEA" />
    <InputParameter Id="john@emea1.com" DataType="string" Value="EMEA" />
    <InputParameter Id="alice@apac.com" DataType="string" Value="APAC" />
    <InputParameter Id="alice@apac1.com" DataType="string" Value="APAC" />
    <InputParameter Id="errorOnFailedLookup" DataType="boolean" Value="false" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="userLookupRegion" TransformationClaimType="outputClaim" />
  </OutputClaims>
</ClaimsTransformation>

  2. 为旅行用户配置基于 API 的身份验证，并配置 MS Graph API 调用来获取用户配置文件。

    1. 检查凭据并从相应的租户获取 MS Graph API 令牌。 在每个具有 MS Graph API 权限的区域租户中完成原生应用注册，以获取以下委托权限：user.read。

      <TechnicalProfile Id="REST-login-NonInteractive-APAC">
  <DisplayName>non interactive authentication to APAC</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ServiceUrl">https://login.partner.microsoftonline.cn/b2capac.partner.onmschina.cn/oauth2/v2.0/token</Item>
    <Item Key="AuthenticationType">None</Item>
    <Item Key="SendClaimsIn">Form</Item>
    <Item Key="AllowInsecureAuthInProduction">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="apac_client_id" PartnerClaimType="client_id" DefaultValue="00001111-aaaa-2222-bbbb-3333cccc4444" />
    <InputClaim ClaimTypeReferenceId="ropc_grant_type" PartnerClaimType="grant_type" DefaultValue="password" />
    <InputClaim ClaimTypeReferenceId="signInName" PartnerClaimType="username" />
    <InputClaim ClaimTypeReferenceId="password" />
    <InputClaim ClaimTypeReferenceId="scope" DefaultValue="https://microsoftgraph.chinacloudapi.cn/.default" AlwaysUseDefaultValue="true" />
    <InputClaim ClaimTypeReferenceId="nca" PartnerClaimType="nca" DefaultValue="1" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="bearerToken" PartnerClaimType="access_token" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

    2. 通过 MS Graph API 为旅行用户读取配置文件。

      <TechnicalProfile Id="Azure AD-Read-User-MSGraph">
  <DisplayName>revoke my refresh token</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ServiceUrl">https://microsoftgraph.chinacloudapi.cn/beta/me</Item>
    <Item Key="AuthenticationType">Bearer</Item>
    <Item Key="UseClaimAsBearerToken">bearerToken</Item>
    <Item Key="SendClaimsIn">Url</Item>
    <Item Key="DebugMode">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="bearerToken" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="id" />
    <OutputClaim ClaimTypeReferenceId="givenName" />
    <OutputClaim ClaimTypeReferenceId="surName" />
    <OutputClaim ClaimTypeReferenceId="displayName" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" PartnerClaimType="upn" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

注册

将用户区域写入全局查找表。

注意

由于查找表是硬编码的，因此未进行设置。

密码重置

  1. 通过全局查找表配置从标识符到区域的查找。

    注意

    由于查找表是硬编码的，因此未进行设置。

  2. 通过 REST API 调用配置跨租户密码重置。

    注意

    将需要代理 API，该 API 使用应用于服务主体的 client_credential 身份验证和“用户管理员”角色。

后续步骤