Настройка потока сброса пароля в Azure Active Directory B2C

• Создайте поток пользователя, чтобы пользователи могли зарегистрироваться и входить в ваше приложение.
• Зарегистрируйте веб-приложение.

• Выполните действия, описанные в статье "Начало работы с настраиваемыми политиками в Active Directory B2C". В этом руководстве описано, как обновить пользовательские файлы политики для использования конфигурации клиента Azure AD B2C.
• Зарегистрируйте веб-приложение.

Возможность самостоятельного сброса пароля может быть настроена для сценариев "Вход" (рекомендуется) или "Регистрация и вход" (рекомендуется). Если у вас нет одного из этих потоков пользователей, создайте поток регистрации или входа .

Чтобы настроить сброс пароля в режиме самообслуживания в процессе регистрации или входа в систему:

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, щелкните значок Настройки в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню Каталоги и подписки.
3. В портале Azure найдите и выберите Azure AD B2C.
4. Выберите потоки пользователей.
5. Выберите рекомендуемый процесс регистрации или входа типа, который требуется настроить.
6. В меню в разделе "Параметры" выберите "Свойства".
7. В разделе "Конфигурация пароля" выберите самостоятельный сброс пароля.
8. Выберите Сохранить.
9. В меню слева в разделе "Настройка" выберите макеты страниц.
10. В версии макета страницы выберите 2.1.3 или более поздней версии.
11. Выберите Сохранить.

В следующих разделах описывается, как добавить возможность самостоятельного управления паролями в настраиваемую политику. Пример основан на файлах политики, включенных в начальный пакет пользовательской политики.

Укажите, что пользователь выбрал ссылку Забыли пароль?

Чтобы сообщить политике, что пользователь выбрал ссылку Forgot your password?, определите логическое утверждение. Используйте утверждение для направления пути пользователя к техническому профилю "Забыл пароль ". Утребование также может быть выдано токену, поэтому приложение обнаруживает, что пользователь вошел в систему через поток "Восстановление пароля".

Объявите утверждения в схеме утверждений. Откройте файл расширений политики, например в SocialAndLocalAccounts/TrustFrameworkExtensions.xml.

1. Найдите элемент BuildingBlocks . Если элемент не существует, добавьте его.

2. Найдите элемент ClaimsSchema . Если элемент не существует, добавьте его.

3. Добавьте следующее утверждение в элемент ClaimsSchema .

   <!-- 
   <BuildingBlocks>
     <ClaimsSchema> -->
       <ClaimType Id="isForgotPassword">
         <DisplayName>isForgotPassword</DisplayName>
         <DataType>boolean</DataType>
         <AdminHelpText>Whether the user has selected Forgot your Password</AdminHelpText>
       </ClaimType>
     <!--
     </ClaimsSchema>
   </BuildingBlocks> -->
   

Обновление версии макета страницы

Версия макета страницы 2.1.2 необходима для включения функции самостоятельного сброса пароля в процессе регистрации или входа. Чтобы обновить версию макета страницы, выполните следующие действия.

1. Откройте базовый файл политики, например SocialAndLocalAccounts/TrustFrameworkBase.xml.

2. Найдите элемент BuildingBlocks . Если элемент не существует, добавьте его.

3. Найдите элемент ContentDefinitions . Если элемент не существует, добавьте его.

4. Измените элемент DataURI в элементе ContentDefinition , чтобы иметь идентификатор api.signuporsignin:

   <!-- 
   <BuildingBlocks>
     <ContentDefinitions> -->
       <ContentDefinition Id="api.signuporsignin">
         <DataUri>urn:com:microsoft:aad:b2c:elements:contract:unifiedssp:2.1.2</DataUri>
       </ContentDefinition>
     <!-- 
     </ContentDefinitions>
   </BuildingBlocks> -->
   

Добавление технических профилей

Технический профиль преобразования утверждений обращается к утверждению isForgotPassword . На технический профиль ссылаются позже. Когда он вызывается, это задаёт значение isForgotPassword для утверждения true.

1. Откройте файл расширений политики, например в SocialAndLocalAccounts/TrustFrameworkExtensions.xml.
2. Найдите элемент ClaimsProviders (если элемент не существует, создайте его), а затем добавьте следующий поставщик утверждений:

<!-- 
<ClaimsProviders> -->
  <ClaimsProvider>
    <DisplayName>Local Account</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="ForgotPassword">
        <DisplayName>Forgot your password?</DisplayName>
        <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
        <OutputClaims>
          <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="true" AlwaysUseDefaultValue="true"/>
        </OutputClaims>
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
      </TechnicalProfile>
      <TechnicalProfile Id="SelfAsserted-LocalAccountSignin-Email">
        <Metadata>
          <Item Key="setting.forgotPasswordLinkOverride">ForgotPasswordExchange</Item>
        </Metadata>
      </TechnicalProfile>
      <TechnicalProfile Id="LocalAccountWritePasswordUsingObjectId">
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
<!-- 
</ClaimsProviders> -->

Параметр технического профиля SelfAsserted-LocalAccountSignin-Email.forgotPasswordLinkOverride определяет обмен утверждениями сброса пароля, который выполняется в пути пользователя.

Диспетчер сеансов LocalAccountWritePasswordUsingObjectId технического профиля UseTechnicalProfileForSessionManagementSM-AAD необходим для пользователя для успешного осуществления последующих входов в условиях SSO.

Добавить подпроцесс сброса пароля

Теперь пользователь может войти, зарегистрироваться и выполнить сброс пароля в вашем пользовательском интерфейсе. Чтобы лучше организовать путь пользователя, можно использовать вспомогательный путь для обработки процесса сброса пароля.

Подпутешествие вызывается из пользовательского пути и выполняет конкретные шаги, которые предоставляют пользователю опыт сброса пароля. Используйте подпутешествие Call типа, чтобы после завершения подпутешествия управление возвращалось к шагу оркестровки, инициировавшему это подпутешествие.

1. Откройте файл расширений политики, например SocialAndLocalAccounts/TrustFrameworkExtensions.xml.
2. Найдите элемент SubJourneys . Если элемент не существует, добавьте его после элемента User Journeys . Затем добавьте следующее подпутешествие:

<!--
<SubJourneys>-->
  <SubJourney Id="PasswordReset" Type="Call">
    <OrchestrationSteps>
      <!-- Validate user's email address. -->
      <OrchestrationStep Order="1" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="PasswordResetUsingEmailAddressExchange" TechnicalProfileReferenceId="LocalAccountDiscoveryUsingEmailAddress" />
        </ClaimsExchanges>
      </OrchestrationStep>

      <!-- Collect and persist a new password. -->
      <OrchestrationStep Order="2" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="NewCredentials" TechnicalProfileReferenceId="LocalAccountWritePasswordUsingObjectId" />
        </ClaimsExchanges>
      </OrchestrationStep>
    </OrchestrationSteps>
  </SubJourney>
<!--
</SubJourneys>-->

Подготовка пользовательского опыта

Затем, чтобы связать ссылку Forgot your password? с подмаршрутом Forgot Password, необходимо сослаться на идентификатор подмаршрута Forgot Password в элементе ClaimsProviderSelection шага CombinedSignInAndSignUp.

Если у вас нет собственного пользовательского пути с шагом CombinedSignInAndSignUp, выполните следующие действия, чтобы дублировать существующий путь пользователя для регистрации или входа. В противном случае перейдите к следующему разделу.

1. В начальном пакете откройте файлTrustFrameworkBase.xml , например SocialAndLocalAccounts/TrustFrameworkBase.xml.
2. Найдите и скопируйте все содержимое элемента UserJourney , который включает в себя Id="SignUpOrSignIn".
3. Откройте файлTrustFrameworkExtensions.xml , например SocialAndLocalAccounts/TrustFrameworkExtensions.xml, и найдите элемент UserJourneys . Если элемент не существует, создайте его.
4. Создайте дочерний элемент элемента UserJourneys , вставив все содержимое элемента UserJourney , скопированного на шаге 2.
5. Переименуйте идентификатор пути взаимодействия пользователя. Например: Id="CustomSignUpSignIn".

Подключите ссылку "Забыл пароль" к подпути "Забыл пароль"

В пользовательском пути следует представить подпутешествие "Забыли пароль" как ClaimsProviderSelection. Добавив этот элемент, вы связываете ссылку Забыли пароль? с подэтапом восстановления пароля.

1. Откройте файл TrustFrameworkExtensions.xml , например SocialAndLocalAccounts/TrustFrameworkExtensions.xml.

2. В пути взаимодействия пользователя найдите элемент шага оркестрации, включающий Type="CombinedSignInAndSignUp" или Type="ClaimsProviderSelection". Обычно это первый шаг оркестрации. Элемент ClaimsProviderSelections содержит список поставщиков удостоверений, которые пользователь может использовать для входа. Добавьте следующую строку:

   <ClaimsProviderSelection TargetClaimsExchangeId="ForgotPasswordExchange" />
   

3. На следующем шаге оркестрации добавьте элемент ClaimsExchange , добавив следующую строку:

   <ClaimsExchange Id="ForgotPasswordExchange" TechnicalProfileReferenceId="ForgotPassword" />
   

4. Добавьте следующий шаг оркестрации между текущим шагом и следующим шагом. Новый шаг оркестрации, который вы добавили, проверяет, существует ли утверждение isForgotPassword . Если утверждение существует, оно вызывает подпроцесс сброса пароля.

   <OrchestrationStep Order="3" Type="InvokeSubJourney">
     <Preconditions>
       <Precondition Type="ClaimsExist" ExecuteActionsIf="false">
         <Value>isForgotPassword</Value>
         <Action>SkipThisOrchestrationStep</Action>
       </Precondition>
     </Preconditions>
     <JourneyList>
       <Candidate SubJourneyReferenceId="PasswordReset" />
     </JourneyList>
   </OrchestrationStep>
   

5. После добавления нового шага оркестрации перенумеруйте шаги последовательно, не пропуская целые числа от 1 до N.

Установите пользовательскую последовательность для выполнения

Теперь, когда вы изменили или создали путешествие пользователя в разделе проверяющей стороны , укажите путешествие, которое Azure AD B2C будет выполнять для этой настраиваемой политики.

1. Откройте файл с элементом Проверяющей стороны , например SocialAndLocalAccounts/SignUpOrSignin.xml.

2. В элементе RelyingParty найдите элемент DefaultUserJourney .

3. Обновите ReferenceId DefaultUserJourney так, чтобы он соответствовал идентификатору пути пользователя, в который вы добавили ClaimsProviderSelections.

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Укажите, как встроить процесс восстановления пароля в ваше приложение.

Возможно, приложению потребуется определить, вошел ли пользователь с помощью потока пользователя Forgot Password. Утверждение isForgotPassword содержит логическое значение, указывающее, что они сделали. Утверждение может быть выдано в токене, который отправляется в ваше приложение. При необходимости добавьте isForgotPassword в выходные утверждения в разделе проверяющей стороны . Приложение может проверить утверждение isForgotPassword, чтобы определить, сбрасывает ли пользователь свой пароль.

<RelyingParty>
  <OutputClaims>
    ...
    <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="false" />
  </OutputClaims>
</RelyingParty>

Отправка настраиваемой политики

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, щелкните значок "Параметры " в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок .
3. В портале Azure найдите и выберите Azure AD B2C.
4. В меню в разделе Политики выберите Фреймворк опыта идентификации.
5. Выберите " Отправить настраиваемую политику". В следующем порядке отправьте измененные файлы политики:
   1. Базовый файл политики, например TrustFrameworkBase.xml.
   2. Политика расширения, например TrustFrameworkExtensions.xml.
   3. Политика проверяющей стороны, например SignUpSignIn.xml.

Создайте поток для пользователя для сброса пароля

Чтобы разрешить пользователям приложения сбрасывать пароли, создайте пользовательский поток для сброса пароля.

1. На портале Azure перейдите к обзору клиента Azure AD B2C.
2. В меню слева в разделе "Политики" выберите потоки пользователей и выберите новый поток пользователя.
3. В Создание потока пользователя выберите поток сброса пароля.
4. В разделе "Выбор версии" выберите "Рекомендуется" и нажмите кнопку "Создать".
5. Для Имя введите имя для потока пользователя. Например, passwordreset1.
6. Для поставщиков удостоверений включите сброс пароля с помощью имени пользователя или сброса пароля с помощью адреса электронной почты.
7. В разделе Многофакторная проверка подлинности, если требуется, чтобы пользователи проверяли свои удостоверения с помощью второго метода проверки подлинности, выберите тип метода и когда необходимо применить многофакторную проверку подлинности. Подробнее.
8. Если вы настроили политики условного доступа для клиента Azure AD B2C и хотите использовать их в этом потоке пользователя, установите флажок "Применить политики условного доступа". Вам не нужно указывать имя политики. Подробнее.
9. В разделе "Утверждения приложения" выберите "Показать больше". Выберите утверждения, которые вы хотите вернуть в токены авторизации, которые отправляются обратно в ваше приложение. Например, выберите идентификатор объекта пользователя.
10. Нажмите ОК.
11. Нажмите кнопку "Создать", чтобы добавить поток пользователя. Префикс B2C_1 автоматически добавляется в имя.

Тестирование потока пользователя

Чтобы протестировать поток пользователя, выполните следующие действия.

1. Выберите пользовательский поток, который вы создали. На странице обзора потока пользователя выберите Запустить поток пользователя.
2. Для приложения выберите веб-приложение, которое вы хотите протестировать, например одно именованное webapp1 , если вы зарегистрировали это ранее. URL-адрес ответа должен бытьhttps://jwt.ms.
3. Выберите "Запустить поток пользователя", проверьте адрес электронной почты учетной записи, для которой требуется сбросить пароль, а затем нажмите кнопку "Продолжить".
4. Измените пароль и нажмите кнопку "Продолжить". Маркер возвращается https://jwt.ms и браузер отображает его.

Создание политики сброса пароля

Пользовательские политики — это набор XML-файлов, которые вы отправляете в клиент Azure AD B2C для определения пути взаимодействия пользователей. Мы предоставляем начальные пакеты с несколькими предварительно созданными политиками, включая регистрацию и вход, сброс пароля и политики редактирования профилей. Дополнительные сведения см. в статье "Начало работы с настраиваемыми политиками в Azure AD B2C".