Атрибуты профиля пользователя

Профиль пользователя каталога Azure Active Directory B2C (Azure AD B2C) поставляется с набором встроенных атрибутов, таких как имя, фамилия, город, почтовый код и номер телефона. Вы можете расширить профиль пользователя с собственными данными приложения, не требуя внешнего хранилища данных.

API Microsoft Graph поддерживает большинство атрибутов, которые можно использовать с Azure В этой статье, описываются атрибуты профиля пользователя, поддерживаемые Azure AD B2C. Перечисляются также атрибуты, которые не поддерживает Microsoft Graph, и атрибуты API Microsoft Graph, которые не следует использовать в Azure AD B2C.

Вы также можете интегрироваться с внешними системами. Например, можно использовать Azure AD B2C для проверки подлинности, но делегировать внешнему управлению отношениями клиентов (CRM) или базе данных лояльности клиентов в качестве авторитетного источника данных клиента. Для получения более подробной информации см. решение дистанционного профиля.

Тип ресурса пользователя Microsoft Entra

Профиль пользователя каталога Azure AD B2C поддерживает атрибуты типа ресурса пользователя , перечисленные в таблице ниже. Он предоставляет следующие сведения о каждом атрибуте:

• Имя атрибута, используемое Azure AD B2C (за которым следует имя Microsoft Graph в скобках, если отличается)
• Тип данных атрибута
• Описание атрибута
• Доступность атрибута на портале Azure
• Может ли атрибут использоваться в потоке пользователя
• Можно ли использовать атрибут в техническом профиле Microsoft Entra ID пользовательской политики и в каком разделе (<InputClaims>, <OutputClaims> или <PersistedClaims>).

¹ Не поддерживается Microsoft Graph
² Дополнительные сведения см. в атрибуте номера телефона MFA
³ Не следует использовать с Azure AD B2C

Требуемые атрибуты

Чтобы создать учетную запись пользователя в каталоге Azure AD B2C, укажите следующие обязательные атрибуты:

• Отображаемое имя

• Идентичности — с как минимум одной учетной единицей (локальной или федеративной учетной записью).

• Профиль пароля. Если вы создаете локальную учетную запись, укажите профиль пароля.

Атрибут отображаемого имени

Это displayName — имя для отображения в управлении пользователями на портале Azure и в токене доступа, который Azure AD B2C возвращает приложению. Это свойство является обязательным.

Атрибут идентичности

Учетная запись клиента, которая может быть потребителем, партнером или гражданином, связывается с этими типами идентификаций.

• Локальное удостоверение. Имя пользователя и пароль хранятся локально в каталоге Azure AD B2C. Эти идентификации часто называются локальными учетными записями.
• Федеративное удостоверение — также известное как социальные или корпоративные учетные записи, удостоверение пользователя управляется федеративными поставщиками удостоверений, такими как Facebook, Microsoft, ADFS или Salesforce.

Пользователь с учетной записью клиента может войти, используя несколько идентичностей. Например, имя пользователя, электронная почта, идентификатор сотрудника, идентификатор правительства и другие. Одна учетная запись может иметь несколько идентификаций, локальных и социальных, с одинаковым паролем.

В API Microsoft Graph локальные и федеративные удостоверения хранятся в атрибуте пользователя identities, который имеет тип объекта objectIdentity. Коллекция identities представляет набор идентификаторов, используемых для входа в учетную запись пользователя. Эта коллекция позволяет пользователю войти в учетную запись пользователя с любым из связанных удостоверений. Атрибут идентификаторов может содержать до 10 объектов objectIdentity. Каждый объект содержит указанные ниже свойства.

В следующем фрагменте JSON показан атрибут Identities: идентификатор локальной учетной записи с именем для входа, адрес электронной почты в качестве входа и социальная идентификация.

"identities": [
  {
    "signInType": "userName",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "johnsmith"
  },
  {
    "signInType": "emailAddress",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "[email protected]"
  },
  {
    "signInType": "federated",
    "issuer": "facebook.com",
    "issuerAssignedId": "5eecb0cd"
  }
]

Для федеративных удостоверений в зависимости от поставщика удостоверений issuerAssignedId представляет собой уникальное значение для каждого пользователя в рамках приложения или учетной записи разработки. Настройте политику Azure AD B2C с тем же идентификатором приложения, что и поставщик социальных сетей или другое приложение в той же учетной записи разработки.

Свойство профиля пароля

Для локального удостоверения требуется атрибут passwordProfile и содержит пароль пользователя. Атрибут forceChangePasswordNextSignIn указывает, должен ли пользователь сбросить пароль при следующем входе. Для обработки принудительного сброса пароля используйте инструкции, описанные в настройке потока принудительного сброса пароля.

Для федеративного (социального) удостоверения атрибут passwordProfile не требуется.

"passwordProfile" : {
    "password": "password-value",
    "forceChangePasswordNextSignIn": false
  }

Атрибут политики паролей

Политика паролей Azure AD B2C (для локальных учетных записей) основана на политике строгой надежности паролей Microsoft Entra ID. Политики регистрации и входа, а также сброса паролей в Azure AD B2C требуют высокой надежности паролей, и пароли не истекают.

В сценариях миграции пользователей, если учетные записи, которые вы хотите перенести, имеют более слабую силу пароля, чем надежная сила пароля , применяемая Azure AD B2C, можно отключить требование строгого пароля. Чтобы изменить политику пароля по умолчанию, задайте значение для атрибута passwordPoliciesDisableStrongPassword. Например, можно изменить созданный запрос пользователя следующим образом:

"passwordPolicies": "DisablePasswordExpiration, DisableStrongPassword"

Атрибут номера телефона для многофакторной аутентификации

При использовании телефона для многофакторной проверки подлинности (MFA) мобильный телефон используется для проверки удостоверения пользователя. Чтобы добавить новый номер телефона программным способом, обновить, получить или удалить номер телефона, используйте метод проверки подлинности телефона API MS Graph.

В пользовательских политиках Azure AD B2C номер телефона доступен через strongAuthenticationPhoneNumber тип заявки.

Атрибуты расширения

Каждое клиентское приложение имеет уникальные требования к собираемой информации. Клиент Azure AD B2C поставляется со встроенным набором сведений, хранящихся в свойствах, таких как заданное имя, фамилия и почтовый индекс. С помощью Azure AD B2C можно расширить набор свойств, хранящихся в каждой учетной записи клиента. Дополнительные сведения см. в разделе "Добавление атрибутов пользователей" и настройка входных данных пользователей в Azure Active Directory B2C

Атрибуты расширения расширяют схему пользовательских объектов в каталоге. Атрибуты расширения могут быть зарегистрированы только в объекте приложения, даже если они могут содержать данные для пользователя. Атрибут расширения присоединен к приложению под названием b2c-extensions-app. Не изменяйте это приложение, так как оно используется Azure AD B2C для хранения пользовательских данных. Это приложение можно найти в разделе регистрации приложений Microsoft Entra. Дополнительные сведения о Azure AD B2Cb2c-extensions-app.

Атрибуты расширения в API Microsoft Graph именуются с помощью соглашения extension_ApplicationClientID_AttributeName, где:

• Идентификатор ApplicationClientIDприложения (клиента) для b2c-extensions-app приложения. Узнайте, как найти приложение расширений.
• AttributeName — это имя атрибута расширения.

Идентификатор приложения (клиента) при создании имени атрибута расширения не включает дефисы. Рассмотрим пример.

"extension_831374b3bd5041bfaa54263ec9e050fc_loyaltyNumber": "212342"

При определении атрибута в расширении схемы поддерживаются следующие типы данных:

Связанный контент

Дополнительные сведения об атрибутах расширения:

• Расширения схемы
• Определение настраиваемых атрибутов