使用 Azure Active Directory B2C 设置通过 QQ 帐户注册与登录

在开始之前，使用 "选择策略类型 "选择器选择要设置的策略类型。 Azure Active Directory B2C 提供了两种定义用户如何与应用程序交互的方法：通过预定义的用户流，或者通过可完全配置的自定义策略。 对于每种方法，本文中所需的步骤都不同。

注意

此功能目前以公共预览版提供。

先决条件

创建 QQ 应用程序

要使用户能够在 Azure Active Directory B2C (Azure AD B2C) 中使用 QQ 帐户登录，需在 QQ 开发人员门户中创建一个应用程序。 如果没有 QQ 帐户，可以在 https://ssl.zc.qq.com 上注册。

注册 QQ 开发人员计划

  1. 使用 QQ 帐户凭据登录 QQ 开发人员门户。
  2. 登录后，请转到 https://open.qq.com/reg 将自己注册为开发者。
  3. 选择“个人”(individual developer)。
  4. 输入所需的信息，并选择“下一步” (next step)。
  5. 完成电子邮件验证过程。 注册为开发人员后，需要等待几天，以获得批准。

注册 QQ 应用程序

  1. 转到 https://connect.qq.com/index.html。
  2. 单击“应用管理”(app management)。
  3. 选择“创建应用” (create app)，然后输入所需的信息。
  4. 对于" 授权""回调 URL" (，) 输入 。 将 your-tenant-name 替换为租户的名称。
  5. 选择“创建应用”(create app)。
  6. 在确认页上选择“应用管理”(app management) 返回应用管理页。
  7. 选择刚刚创建的应用旁边的“查看”(view)。
  8. 选择“修改”(edit)。
  9. 复制“应用 ID”和“应用密钥”。 将标识提供者添加到租户时需要这两个值。

将 QQ 配置为标识提供者

  1. 登录 Azure 门户。
  2. 请确保使用的是包含 Azure AD B2C 租户的目录。 在门户工具栏中选择“目录 + 订阅”图标。
  3. 在“门户设置 | 目录+订阅”页上的“目录名称”列表中找到你的 Azure AD B2C 目录，然后选择“切换”。
  4. 在 Azure 门户中，搜索并选择“Azure AD B2C” 。
  5. 选择“标识提供者”，然后选择“QQ (预览)”。
  6. 输入“名称”。 例如，QQ。
  7. 对于客户端 ID，输入你之前创建的 QQ 应用程序的应用 ID。
  8. 对于客户端密码，输入你记录的应用密钥。
  9. 选择“保存”。

将 QQ 标识提供者添加到用户流

  1. 在 Azure AD B2C 租户中，选择“用户流” 。
  2. 单击要将 QQ 标识提供者添加到的用户流。
  3. 在“社交标识提供者”下，选择“QQ”。
  4. 选择“保存”。
  5. 若要测试策略，请选择“运行用户流”。
  6. 对于“应用程序”，请选择前面已注册的名为“testapp1”的 Web 应用程序。 回复 URL 应显示 。
  7. 选择“运行用户流”按钮。
  8. 在注册或登录页上，选择“QQ”以使用 QQ 帐户登录。

如果登录过程成功，则浏览器将重定向到 https://jwt.ms，其中显示了 Azure AD B2C 返回的令牌内容。

创建策略密钥

你需要存储前面在 Azure AD B2C 租户中记录的客户端机密。

  1. 登录 Azure 门户。
  2. 请确保使用的是包含 Azure AD B2C 租户的目录。 在门户工具栏中选择“目录 + 订阅”图标。
  3. 在“门户设置 | 目录+订阅”页上的“目录名称”列表中找到你的 Azure AD B2C 目录，然后选择“切换”。
  4. 选择 Azure 门户左上角的“所有服务”，然后搜索并选择“Azure AD B2C” 。
  5. 在“概述”页上选择“标识体验框架”。
  6. 选择“策略密钥”，然后选择“添加”。
  7. 对于 "选项"，请选择 。
  8. 输入策略密钥的名称。 例如，QQSecret。 前缀 B2C_1A_ 会自动添加到密钥名称。
  9. 在“机密”中，输入前面记录的应用程序机密。
  10. 对于 "密钥用法"，请选择 。
  11. 单击“创建”。

将 QQ 配置为标识提供者

要使用户能够使用 QQ 帐户登录，需将该帐户定义为 Azure AD B2C 可通过终结点与之通信的声明提供程序。 该终结点将提供一组声明，Azure AD B2C 使用这些声明来验证特定的用户是否已完成身份验证。

可以通过在策略的扩展文件中将 QQ 帐户添加到 ClaimsProviders 元素，将该帐户定义为声明提供程序。

  1. 打开 TrustFrameworkExtensions.xml。

  2. 找到 ClaimsProviders 元素。 如果该元素不存在，请在根元素下添加它。

  3. 如下所示添加新的 ClaimsProvider：

    <ClaimsProvider>
  <Domain>qq.com</Domain>
  <DisplayName>QQ (Preview)</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="QQ-OAuth2">
      <DisplayName>QQ</DisplayName>
      <Protocol Name="OAuth2" />
      <Metadata>
        <Item Key="ProviderName">qq</Item>
        <Item Key="authorization_endpoint">https://graph.qq.com/oauth2.0/authorize</Item>
        <Item Key="AccessTokenEndpoint">https://graph.qq.com/oauth2.0/token</Item>
        <Item Key="ClaimsEndpoint">https://graph.qq.com/oauth2.0/me</Item>
        <Item Key="scope">get_user_info</Item>
        <Item Key="HttpBinding">GET</Item>
        <Item Key="ClaimsResponseFormat">JsonP</Item>
        <Item Key="ResponseErrorCodeParamName">error</Item>
        <Item Key="external_user_identity_claim_id">openid</Item>
        <Item Key="client_id">Your QQ application ID</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="client_secret" StorageReferenceId="B2C_1A_QQSecret" />
      </CryptographicKeys>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="UserId" PartnerClaimType="openid" />
        <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="qq.com" AlwaysUseDefaultValue="true" />
        <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
      </OutputClaims>
      <OutputClaimsTransformations>
        <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName" />
        <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName" />
        <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId" />
        <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId" />
      </OutputClaimsTransformations>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

  4. 将 client_id 设置为应用程序注册中的应用程序 ID。

  5. 保存文件。

添加用户旅程

此时，标识提供者已设置，但还不能在任何登录页中使用。 如果你没有自己的自定义用户旅程，请创建现有模板用户旅程的副本，否则，请继续执行下一步。

  1. 打开初学者包中的 TrustFrameworkBase.xml 文件。
  2. 查找并复制包含 的 UserJourney 元素的全部内容 。
  3. 打开 TrustFrameworkExtensions.xml 并找到 UserJourneys 元素。 如果该元素不存在，请添加一个。
  4. 将复制的 UserJourney 元素的完整内容粘贴为 UserJourneys 元素的子级。
  5. 对用户旅程的 ID 进行重命名。 例如 Id="CustomSignUpSignIn"。

将标识提供者添加到用户旅程

目前你已拥有用户旅程，请将新的标识提供者添加到用户旅程。 首先添加一个“登录”按钮，然后将该按钮链接到某个操作。 该操作是你之前创建的技术配置文件。

  1. 在用户旅程中，查找包含 Type="CombinedSignInAndSignUp" 或 Type="ClaimsProviderSelection" 的业务流程步骤元素。 这通常是第一个业务流程步骤。 ClaimsProviderSelections 元素包含用户可以用来登录的标识提供者列表。 元素的顺序将决定向用户显示的登录按钮的顺序。 添加 ClaimsProviderSelection XML 元素。 将 TargetClaimsExchangeId 的值设置为易记名称。

  2. 在下一个业务流程步骤中，添加 ClaimsExchange 元素。 将 ID 设置为目标声明交换 ID 的值。将 TechnicalProfileReferenceId 的值更新为之前创建的技术配置文件的 ID 。

下面的 XML 演示了使用标识提供者进行用户旅程的前两个业务流程步骤：

<OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
  <ClaimsProviderSelections>
    ...
    <ClaimsProviderSelection TargetClaimsExchangeId="QQExchange" />
  </ClaimsProviderSelections>
  ...
</OrchestrationStep>

<OrchestrationStep Order="2" Type="ClaimsExchange">
  ...
  <ClaimsExchanges>
    <ClaimsExchange Id="QQExchange" TechnicalProfileReferenceId="QQ-OAuth2" />
  </ClaimsExchanges>
</OrchestrationStep>

配置信赖方策略

信赖方策略（例如 SignUpSignIn.xml）指定 Azure AD B2C 将执行的用户旅程。 在信赖方内查找 DefaultUserJourney 元素。 更新 ReferenceId，使其与已在其中添加标识提供者的用户旅程 ID 匹配。

在下面的示例中，对于 CustomSignUpOrSignIn 用户旅程 CustomSignUpOrSignIn 设置为 CustomSignUpOrSignIn ：

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

上传自定义策略

  1. 登录到 Azure 门户。
  2. 在门户工具栏中选择“目录 + 订阅”图标，然后选择包含 Azure AD B2C 租户的目录。
  3. 在 Azure 门户中，搜索并选择“Azure AD B2C”。
  4. 在“策略”下，选择“Identity Experience Framework”。
  5. 选择Upload自定义策略"，然后按以下顺序上传更改的两个策略文件：扩展策略（例如 ）和信赖方策略（ 如 SignUpSignIn.xml ）。

测试自定义策略

  1. 选择信赖方策略，例如 B2C_1A_signup_signin。
  2. 对于“应用程序”，请选择前面注册的 Web 应用程序。 回复 URL 应显示 。
  3. 选择“立即运行”按钮。
  4. 在注册或登录页上，选择“QQ”以使用 QQ 帐户登录。

如果登录过程成功，则浏览器将重定向到 https://jwt.ms，其中显示了 Azure AD B2C 返回的令牌内容。