Azure Active Directory B2C 中的策略密钥概述

项目
11/18/2024

开始之前，请使用此页顶部的“选择策略类型”选择器来选择要设置的策略类型。 Azure Active Directory B2C 提供了两种定义用户如何与应用程序交互的方法：通过预定义的用户流，或者通过可完全配置的自定义策略。对于每种方法，本文中所需的步骤都不同。

此功能仅适用于自定义策略。对于设置步骤，请在前面的选择器中选择“自定义策略”。

Azure Active Directory B2C (Azure AD B2C) 以策略密钥的形式存储机密和证书，从而与它所集成的服务建立信任。这些信任包括：

外部标识提供者
与 REST API 服务进行连接
令牌签名和加密

本文讨论了对于 Azure AD B2C 使用的策略密钥，你需要了解的内容。

注意

目前策略密钥的配置仅限于自定义策略。

你可以在 Azure 门户中的“策略密钥”菜单下配置用于在服务之间建立信任的机密和证书。密钥可以是对称的，也可以是非对称的。在对称加密或私钥加密中，将使用共享机密来加密和解密数据。非对称加密或公钥加密这种加密系统使用密钥对，其中包含与信赖方应用程序共享的公钥，以及只有 Azure AD B2C 知道的私钥。

策略密钥集和密钥

Azure AD B2C 中的策略密钥的顶层资源是密钥集容器。每个密钥集都包含至少一个密钥。密钥具有以下属性：

Attribute	必需	备注
`use`	是	用法：标识公钥的预期用途。加密数据 `enc`，或验证数据 `sig` 上的签名。
`nbf`	否	激活日期和时间。管理员可以手动设置替代值。
`exp`	否	到期日期和时间。管理员可以手动设置替代值。

建议你根据自己的 PKI 标准设置密钥激活和到期值。出于安全或策略原因，你可能需要定期轮换这些证书。例如，某个策略可能每年轮换一次所有证书。

若要创建密钥，可以选择以下方法之一：

手动 - 使用你定义的字符串创建机密。此机密是一种对称密钥。你可以设置激活日期和到期日期。
生成的 - 自动生成密钥。你可以设置激活日期和到期日期。存在两个选项：
- 机密 - 生成对称密钥。
- RSA - 生成密钥对（非对称密钥）。
上传 - 上传证书或 PKCS12 密钥。证书必须包含私钥和公钥（非对称密钥）。

密钥滚动更新

出于安全考虑，Azure AD B2C 可以定期滚动更新密钥，或在紧急情况下立即滚动更新密钥。任何与 Azure AD B2C 集成的应用程序、标识提供者或 REST API 都应准备好处理密钥滚动更新事件，而不管滚动更新可能发生的频率是多少。否则，如果应用程序或 Azure AD B2C 尝试使用过期密钥来执行加密操作，则登录请求会失败。

如果某个 Azure AD B2C 密钥集包含多个密钥，则每次只有其中一个密钥处于活动状态，具体取决于以下条件：

密钥激活基于激活日期。
- 密钥按激活日期以升序排序。激活日期越靠后，密钥在列表中的位置越靠后。没有激活日期的密钥位于列表底部。
- 如果当前日期和时间晚于密钥的激活日期，Azure AD B2C 将激活密钥并停止使用以前的有效密钥。
如果当前密钥的到期时间已过，并且密钥容器包含的新密钥具有有效的“nbf（非过去）”和“exp（过期）”时间，则新密钥将自动变为激活状态。新令牌将使用新的活动密钥进行签名。可以保留已发布的过期密钥以进行令牌验证，直到被管理员禁用，但必须通过提交支持请求来请求此操作。
如果当前密钥的到期时间已过，并且密钥容器未包含具有有效的“不早于”和“到期”时间的新密钥，则 Azure AD B2C 将无法使用到期的密钥。 Azure AD B2C 将在你的自定义策略的相关组件中引发错误消息。为了避免此问题，你可以创建不带激活和到期日期的默认密钥作为保障措施。
在 JwtIssuer 技术配置文件中引用密钥时，OpenId Connect 众所周知的配置终结点的密钥终结点 (JWKS URI) 会反映密钥容器中配置的密钥。使用 OIDC 库的应用程序将自动提取此元数据，以确保它使用正确的密钥来验证令牌。有关详细信息，请学习如何使用 Microsoft 身份验证库，它会自动提取最新的令牌签名密钥。

密钥缓存

当上传密钥时，密钥上的激活标志默认设置为 false。然后，可以将此密钥的状态设置为“已启用”。如果密钥已启用且有效（当前时间介于 NBF 和 EXP 之间），则将使用该密钥。

密钥状态

激活标志属性可在 Azure 门户 UX 中修改，从而允许管理员禁用密钥并将其退出轮换。

策略密钥管理

若要获取密钥容器中的当前有效密钥，请使用 Microsoft Graph API getActiveKey 终结点。

若要添加或删除签名和加密密钥，请执行以下操作：

登录到 Azure 门户。
如果有权访问多个租户，请选择顶部菜单中的“设置”图标，从“目录 + 订阅”菜单中切换到你的 Azure AD B2C 租户。
在 Azure 门户中，搜索并选择“Azure AD B2C”。
在概述页面上的“策略”下，选择“Identity Experience Framework” 。
选择“策略密钥”
1. 若要添加新密钥，请选择“添加”。
2. 若要删除新密钥，请选择该密钥，然后选择“删除”。若要删除密钥，请键入要删除的密钥容器的名称。 Azure AD B2C 将删除密钥，并创建一个后缀为 .bak 的密钥副本。

替换密钥

密钥集里的密钥不可替换或删除。如果需要更改现有密钥，请执行以下操作：

建议添加新密钥，并将新密钥的“激活日期”设置为当前日期和时间。 Azure AD B2C 即将激活新密钥，并停止使用之前使用的密钥。
或者，可以使用正确的密钥创建一个新的密钥集。更新策略以使用新密钥集，然后删除旧的密钥集。

后续步骤

了解如何使用 Microsoft Graph 自动执行密钥集和策略密钥部署。

通过