Настройка маркеров в Azure Active Directory B2C

• Создайте поток пользователя, чтобы пользователи могли зарегистрироваться и входить в ваше приложение.
• Зарегистрируйте веб-приложение.

• Выполните действия, описанные в статье "Начало работы с настраиваемыми политиками в Active Directory B2C". В этом руководстве описано, как обновить пользовательские файлы политики для использования конфигурации клиента Azure AD B2C.
• Зарегистрируйте веб-приложение.

Чтобы настроить время существования токена потока пользователей, выполните приведенные действия.

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, щелкните значок Настройки в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню Каталоги и подписки.
3. Выберите все службы в левом верхнем углу портала Azure, а затем найдите и выберите Azure AD B2C.
4. Выберите потоки пользователей (политики).
5. Откройте ранее созданный поток пользователя.
6. Выберите Свойства.
7. В разделе "Время существования маркера" настройте свойства в соответствии с потребностями приложения.
8. Выберите Сохранить.

Чтобы изменить параметры совместимости маркеров, задайте метаданные технического профиля издателя маркеров в расширении или в файле доверенной стороны той политики, которую вы хотите изменить. Технический профиль издателя токенов выглядит следующим образом:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

Следующие значения задаются в предыдущем примере:

• token_lifetime_secs — время существования маркера доступа (в секундах). Значение по умолчанию — 3600 (1 час). Минимальное значение — 300 (5 минут). Максимальное значение — 86 400 (24 часа).
• id_token_lifetime_secs — время существования маркера идентификатора (в секундах). Значение по умолчанию — 3600 (1 час). Минимальное значение — 300 (5 минут). Максимальное значение — 86 400 (24 часа).
• refresh_token_lifetime_secs Период действия маркера обновления (в секундах). Значение по умолчанию — 1209 600 (14 дней). Минимальное значение — 86 400 (24 часа). Максимальное значение составляет 7776 000 (90 дней).
• rolling_refresh_token_lifetime_secs — время существования скользящего окна обновления токена (в секундах). Значение по умолчанию — 776 000 (90 дней). Минимальное значение — 86 400 (24 часа). Максимальное значение — 31 536 000 (365 дней). Если вы не хотите принудительно применять время существования скользящего окна, установите значение для allow_infinite_rolling_refresh_token на true.
• allow_infinite_rolling_refresh_token — срок действия скользящего окна обновления токена никогда не истекает.

Чтобы настроить параметры совместимости потока пользователей, выполните следующие действия.

1. Выберите потоки пользователей (политики).
2. Откройте ранее созданный поток пользователя.
3. Выберите Свойства.
4. В разделе "Параметры совместимости маркеров" настройте свойства в соответствии с потребностями приложения.
5. Выберите Сохранить.

Чтобы изменить параметры совместимости токенов, задайте метаданные технического профиля издателя токенов в расширении или в файле доверяющей стороны для политики, которую вы хотите обновить. Технический профиль издателя токенов выглядит следующим образом:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Утверждение издателя (iss) — утверждение издателя (iss) устанавливается с элементом метаданных IssueClaimPattern . Применимые значения: AuthorityAndTenantGuid и AuthorityWithTfp.

• TFP — рекомендуемое значение. Задайте AuthenticationContextReferenceClaimPattern со значением None.

  Добавьте этот элемент в элемент ClaimsSchema :

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  В политике проверяющей стороны в элементе OutputClaims добавьте следующее выходное утверждение:

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  Для ACR удалите элемент AuthenticationContextReferenceClaimPattern .

• Утверждение subject (sub) — этот параметр по умолчанию устанавливается как ObjectID. Если вы хотите изменить этот параметр Not Supported, замените эту строку.

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  с этой строкой:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Выберите потоки пользователей (политики).
2. Откройте ранее созданный поток пользователя.
3. Выберите запросы приложения.
4. Выберите утверждения и атрибуты, которые необходимо отправить обратно в приложение.
5. Выберите Сохранить.

Утверждения технического профиля политики проверяющей стороны — это значения, возвращаемые приложению. Добавление выходных утверждений выдаст утверждения в токен после успешного пользовательского пути и они будут отправлены приложению. Измените элемент технического профиля в разделе проверяющей стороны, чтобы добавить требуемые утверждения в качестве выходного утверждения.

1. Откройте файл настраиваемой политики. Например, SignUpOrSignin.xml.
2. Найдите элемент OutputClaims. Добавьте тот OutputClaim, который вы хотите включить в токен.
3. Задайте атрибуты выходных утверждений.

В следующем примере добавляется accountBalance утверждение. Запрос на accountBalance передается приложению как баланс.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

Элемент OutputClaim содержит следующие атрибуты:

• ClaimTypeReferenceId — идентификатор типа утверждения, уже определенного в разделе ClaimsSchema в файле политики или родительском файле политики.
• PartnerClaimType — позволяет изменить название претензии в токене.
• DefaultValue — значение по умолчанию. Можно также задать значение по умолчанию для сопоставителя утверждений, например идентификатор арендатора.
• AlwaysUseDefaultValue — принудительное использование значения по умолчанию.