Определение технического профиля OAuth2 в пользовательской политике Azure Active Directory B2C

Azure Active Directory B2C (Azure AD B2C) обеспечивает поддержку поставщика удостоверений протокола OAuth2. OAuth2 — это основной протокол для авторизации и делегированной проверки подлинности. Дополнительные сведения см. в статье RFC 6749 Платформа авторизации OAuth 2.0. С помощью технического профиля OAuth2 вы можете интегрироваться с поставщиком удостоверений на основе OAuth2, например Facebook. Федерация с поставщиком удостоверений позволяет пользователям входить в систему, используя имеющиеся удостоверения социальных сетей или компаний.

Протокол

Атрибуту Name элемента Protocol необходимо присвоить значение OAuth2. Например, протокол технического профиля Facebook-OAUTH:OAuth2

<TechnicalProfile Id="Facebook-OAUTH">
  <DisplayName>Facebook</DisplayName>
  <Protocol Name="OAuth2" />
  ...

Входящие утверждения

Элементы InputClaims и InputClaimsTransformations не являются обязательными. Но вам может потребоваться отправить дополнительные параметры поставщику удостоверений. В следующем примере к запросу авторизации добавляется параметр строки запроса domain_hint со значением contoso.com.

<InputClaims>
  <InputClaim ClaimTypeReferenceId="domain_hint" DefaultValue="contoso.com" />
</InputClaims>

Исходящие утверждения

Элемент OutputClaims содержит список утверждений, возвращаемых поставщиком удостоверений OAuth2. Возможно, потребуется сопоставить имя утверждения, определенное в вашей политике, с именем, определенным у поставщика удостоверений. Кроме того, можно включить утверждения, которые не возвращаются поставщиком удостоверений, если вы задали DefaultValue атрибут.

Элемент OutputClaimsTransformations может содержать коллекцию элементов OutputClaimsTransformation, которые используются для изменения исходящих утверждений или создания новых.

В следующем примере показаны утверждения, возвращаемые поставщиком удостоверений Facebook:

• Утверждение first_name сопоставлено с заданным именем.
• Утверждение last_name сопоставляется с утверждением фамилии .
• Утверждение displayName без сопоставления имен.
• Утверждение email без ассоциации с именами.

Технический профиль также возвращает утверждения, которые не возвращаются поставщиком удостоверений:

• Утверждение identityProvider , содержащее имя поставщика удостоверений.
• Утверждение authenticationSource со значением по умолчанию socialIdpAuthentication.

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="id" />
  <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="first_name" />
  <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="last_name" />
  <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
  <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
  <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="facebook.com" />
  <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
</OutputClaims>

Метаданные конечной точки авторизации

Поток авторизации начинается, когда Azure AD B2C направляет пользователя к конечной точке поставщиков /authorize удостоверений OAuth2. Вызов конечной точки авторизации — это интерактивная часть потока, где пользователь принимает меры. На этом этапе пользователю предлагается завершить вход в поставщик удостоверений OAuth2. Например, введите имя пользователя и пароль.

Azure AD B2C создает запрос авторизации, предоставляя идентификатор клиента, области, URI перенаправления и другие параметры, необходимые для получения маркера доступа от поставщика удостоверений. В этом разделе описаны метаданные конечной точки авторизации, которая позволяет настроить запрос на /authorize конечную точку поставщика удостоверений.

Запрос к конечной точке авторизации всегда является HTTP GET. В следующем примере показан вызов конечной точки авторизации.

GET https://login.contoso.com/oauth/v2/authorization?
client_id=12345
&response_type=code
&response_mode=query
&redirect_uri=urn%3Aietf%3Awg%3Aoauth%3A2.0%3Aoob
&scope=profile%20offline_access
&redirect_uri=https%3a%2f%2fabrikam.b2clogin.com%2fabrikam.onmicrosoft.com%2foauth2%2fauthresp
&state=...

В следующей таблице перечислены метаданные конечной точки авторизации.

Метаданные конечной точки токена

После завершения проверки подлинности пользователя в конечной точке авторизации поставщика удостоверений возвращается ответ, содержащий авторизацию code , в Azure AD B2C. Azure AD B2C активирует код авторизации для маркера доступа, отправив запрос POST в /token конечную точку поставщика удостоверений. В этом разделе описаны метаданные конечной точки маркера, которые позволяют настроить запрос на /token конечную точку поставщика удостоверений.

В следующем HTTP-запросе показан вызов Azure AD B2C к конечной точке маркера поставщика удостоверений.

POST https://contoso/oauth2/token 
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id=12345&scope=profile offline_access&code=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq... 

В следующей таблице перечислены метаданные конечной точки маркера.

Настройка метода привязки HTTP

По умолчанию запрос к конечной точке маркера использует HTTP POST.

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">POST</Item>

Следующий HTTP-вызов демонстрирует вызов конечной точки токена с помощью HTTP-запроса POST:

POST /oauth2/token

client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

Для поставщиков удостоверений, требующих использования метода HTTP GET в конечной точке /token , задайте HttpBinding для метаданных значение GET. Обратите внимание, что в следующем примере AccessTokenResponseFormat задано значение json, так как конечная точка маркера возвращает ответ в формате JSON.

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">GET</Item>
<Item Key="AccessTokenResponseFormat">json</Item>

GET /oauth2/token?client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

Настройка формата ответа маркера доступа

Для поставщиков удостоверений, поддерживающих метод HTTP POST, AccessTokenResponseFormat по умолчанию jsonустанавливается значение . Если поставщик удостоверений поддерживает HTTP-запрос GET, необходимо явно задать формат json ответа маркера доступа.

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="HttpBinding">GET</Item>
<Item Key="AccessTokenResponseFormat">json</Item>

В следующем примере показан ответ конечной точки токена в формате JSON:

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...",
    "token_type": "Bearer",
    "not_before": 1637924390,
    "expires_in": 960000,
}

Настройка метода проверки подлинности

Запросы к конечной точке токена всегда требуют проверки подлинности. По умолчанию Azure AD B2C предоставляет поставщику удостоверений учетные данные клиента. По умолчанию используется client_secret_postметод проверки подлинности, включая учетные данные клиента (client_id и client_secret) в тексте запроса.

Следующий HTTP-запрос к конечной точке токена client_id содержит и client_secret в данных POST. Для запросов client_id GET и client_secret их включения в параметры строки запроса.

POST /oauth2/token

client_id=abcd&client_secret=1234&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

Для поставщиков удостоверений, которым требуется использовать обычную проверку подлинности HTTP в конечной /token точке, настройте метаданные token_endpoint_auth_methodclient_secret_basicв . С помощью этого типа метода проверки подлинности учетные данные клиента передаются поставщику удостоверений с помощью схемы проверки подлинности HTTP Basic.

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="token_endpoint_auth_method">client_secret_basic</Item>

Следующий HTTP-запрос демонстрирует вызов конечной точки токена с помощью базовой проверки подлинности HTTP. Заголовок авторизации содержит идентификатор клиента и секрет клиента в формате client_ID:client_secretbase64.

POST /oauth2/token

Authorization: Basic YWJjZDoxMjM0

redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

Для поставщиков удостоверений, поддерживающих проверку подлинности JWT с закрытым ключом, настройте метаданные token_endpoint_auth_methodв private_key_jwt . С помощью этого типа метода проверки подлинности сертификат, предоставленный Azure AD B2C, используется для создания подписанного утверждения, который передается поставщику удостоверений через client_assertion параметр. Задано client_assertion_typeurn:ietf:params:oauth:client-assertion-type:jwt-bearerзначение . Метаданные token_signing_algorithm указывают алгоритм подписывания JWT.

<Item Key="AccessTokenEndpoint">https://contoso.com/oauth2/token</Item>
<Item Key="token_endpoint_auth_method">private_key_jwt</Item>
<Item Key="token_signing_algorithm">RS256</Item>

Следующий HTTP-запрос демонстрирует вызов конечной точки токена с помощью проверки подлинности JWT закрытого ключа.

POST /oauth2/token

client_assertion=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsImtpZCI6IjJFRFg0dWRYeDIxbXNoaXdJVzczMUY3OUZSbFJiUDZXVXJyZmktR1RFeVkifQ.eyJpc3MiOiJhYmNkIiwiZXhwIjoxNjM3OTI5ODY0LCJuYmYiOjE2Mzc5Mjk1NjQsImF1ZCI6Imh0dHBzOi8vNWRlNC0xMDktNjQtMTI0LTUzLm5ncm9rLmlvL2FjY2Vzc190b2tlbiIsImp0aSI6IjVxQWlGV2lEODNDbU1KWWNrejBRdGc9PSIsInN1YiI6ImFiY2QiLCJpYXQiOjE2Mzc5Mjk1NjR9.C4OtRnrLaQatpT5LP45O5Nb418S4v8yZi_C42ld440w&client_id=abcd&client_assertion_type=urn%3aietf%3aparams%3aoauth%3aclient-assertion-type%3ajwt-bearer&redirect_uri=https%3a%2f%2fcontoso.b2clogin.com%2fcontoso.onmicrosoft.com%2foauth2%2fauthresp&code=12345&grant_type=authorization_code

Метаданные конечной точки сведений пользователя

После того как Azure AD B2C получает маркер доступа от поставщика удостоверений OAuth2, он вызывает конечную точку сведений пользователя. Конечная точка сведений о пользователе, также известная как конечная точка утверждений, предназначена для получения утверждений о прошедшем проверку подлинности пользователя. Azure AD B2C использует проверку подлинности маркера носителя для проверки подлинности в конечной точке сведений о пользователях поставщиков удостоверений. Маркер носителя — это маркер доступа, полученный Azure AD B2C из конечной точки поставщиков /token удостоверений.

Запрос к конечной точке сведений пользователя всегда является HTTP GET. Маркер доступа отправляется в параметре строки запроса с именем access_token. Следующий HTTP-запрос показывает вызов конечной точки сведений пользователя с маркером доступа в параметре строки запроса.

GET /oauth2/claims?access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5... 

В следующей таблице перечислены метаданные конечной точки сведений пользователя.

Настройка параметра строки запроса маркера доступа

Конечная точка сведений пользователя может потребовать отправки маркера доступа в определенном параметре строки запроса. Чтобы изменить имя параметра строки запроса, содержащего маркер доступа, используйте метаданные ClaimsEndpointAccessTokenName . В следующем примере для параметра строки запроса маркера доступа задано значение token.

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="ClaimsEndpointAccessTokenName">token</Item>

Следующий HTTP-вызов демонстрирует вызов конечной точки сведений пользователя с ClaimsEndpointAccessTokenName заданным значением token:

GET /oauth2/claims?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

Настройка формата утверждений

ClaimsEndpointFormatName И ClaimsEndpointFormat позволяет отправлять параметр строки запроса пары "ключ-значение" в конечную точку сведений пользователя. В следующем примере настраивается параметр строки запроса с именем formatсо значением json.

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="ClaimsEndpointFormatName">format</Item>
<Item Key="ClaimsEndpointFormat">json</Item>

Следующий HTTP-запрос демонстрирует вызов конечной точки сведений пользователя и ClaimsEndpointFormatNameClaimsEndpointFormat настроен.

GET /oauth2/claims?format=json&access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

Настройка метода передачи маркеров носителя

По умолчанию маркер доступа отправляется в конечную точку сведений о пользователях поставщиков удостоверений через параметр строки запроса. Чтобы отправить маркер в заголовке HTTP Authorization , задайте BearerTokenTransmissionMethod для метаданных значение AuthorizationHeader.

<Item Key="ClaimsEndpoint">https://contoso.com/oauth2/claims</Item>
<Item Key="BearerTokenTransmissionMethod">AuthorizationHeader</Item>

Следующий HTTP-запрос демонстрирует, как передается маркер доступа, если BearerTokenTransmissionMethod задано AuthorizationHeaderзначение .

GET /oauth2/claims

Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

Передача параметров, возвращаемых конечной точкой маркера

Некоторые поставщики удостоверений требуют передачи дополнительных параметров, возвращаемых из конечной точки маркера в конечную точку сведений пользователя. Например, ответ от конечной точки токена содержит параметр с именем resource, который является обязательным параметром конечной точки сведений пользователя (помимо маркера доступа). Используйте метаданные ExtraParamsInClaimsEndpointRequest , чтобы указать все дополнительные параметры для передачи. Несколько имен параметров должны быть экранированы и разделены запятыми "," разделителя.

Следующий код JSON демонстрирует полезные данные JSON, возвращаемые конечной точкой маркера с именем resourceпараметра.

{
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...",
    "token_type": "Bearer",
    "not_before": 1549647431,
    "expires_in": 960000,
    "resource": "f2a76e08-93f2-4350-833c-965c02483b11"
}

Чтобы передать параметр в resource конечную точку сведений о пользователе, добавьте следующие метаданные:

<Item Key="ExtraParamsInClaimsEndpointRequest">resource</Item>

Следующий HTTP-запрос демонстрирует, resource как параметр передается в конечную точку сведений о пользователе.

GET /oauth2/claims?resource=f2a76e08-93f2-4350-833c-965c02483b11&access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IlBFcG5...

Конечная точка сеанса

Чтобы выйти из приложения, перенаправьте пользователя в конечную точку выхода Azure AD B2C (для OAuth2 и OpenID Connect) или отправьте ( LogoutRequest для SAML). Azure AD B2C очищает сеанс пользователя из браузера. При запросе на выход Azure AD B2C пытается выйти из любых федеративных поставщиков удостоверений, через которые пользователь мог войти. URI выхода поставщика удостоверений OAuth2 настраивается в end_session_endpoint метаданных. Когда пользователь выходит из приложения через Azure AD B2C, будет создан скрытый iframe, который будет вызываться end_session_endpoint на странице выхода Azure AD B2C.

В следующей таблице перечислены метаданные конечной точки сведений пользователя.

Универсальные метаданные OAuth2

В следующей таблице перечислены универсальные метаданные поставщика удостоверений OAuth2. Метаданные описывают, как технический профиль OAuth2 обрабатывает проверку маркеров, получает утверждения и реагирует на сообщения об ошибках.

Криптографические ключи

Элемент CryptographicKeys содержит следующий атрибут:

Перенаправляющий URI

При настройке URI перенаправления поставщика удостоверений введите https://{tenant-name}.b2clogin.com/{tenant-name}.onmicrosoft.com/oauth2/authresp. Обязательно замените {tenant-name} имя клиента (например, contosob2c). URI перенаправления должен содержать только строчные символы.

Связанный контент

• Узнайте, как добавить поставщика удостоверений в клиент Azure Active Directory B2C