Konfigurieren von Token in Azure Active Directory B2C

• Erstellen Sie einen Benutzerflow, damit sich Benutzer bei Ihrer Anwendung registrieren und anmelden können.
• Registrieren Sie eine Webanwendung.

• Führen Sie die unter Erste Schritte mit benutzerdefinierten Richtlinien in Active Directory B2C beschriebenen Schritte aus.
• Registrieren Sie eine Webanwendung.

So konfigurieren Sie die Tokenlebensdauer für den Benutzerflow

1. Melden Sie sich beim Azure-Portal an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben aus, um über das Menü Verzeichnisse + Abonnements zu Ihrem Azure AD B2C-Mandanten zu wechseln.
3. Wählen Sie links oben im Azure-Portal die Option Alle Dienste aus, suchen Sie nach Azure AD B2C, und wählen Sie dann diese Option aus.
4. Wählen Sie Benutzerflows (Richtlinien) aus.
5. Öffnen Sie den Benutzerflow, den Sie zuvor erstellt haben.
6. Wählen Sie Eigenschaften aus.
7. Passen Sie unter Tokenlebensdauer die Eigenschaften an die Anforderungen Ihrer Anwendung an.
8. Wählen Sie Speichern aus.

Um die Einstellungen für die Tokenkompatibilität zu ändern, legen Sie in der Erweiterung die Metadaten des technischen Profils für den Tokenaussteller oder die Datei der vertrauenden Seite der Richtlinie fest, die Sie beeinflussen möchten. Das technische Profil für den Tokenaussteller sieht wie im folgenden Beispiel aus:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

Im vorstehenden Beispiel werden die folgenden Werte festgelegt:

• token_lifetime_secs: Lebensdauer von Zugriffstoken (Sekunden). Der Standardwert beträgt 3.600 Sekunden (1 Stunde). Der Mindestwert beträgt 300 Sekunden (5 Minuten). Der Höchstwert beträgt 86.400 Sekunden (24 Stunden).
• id_token_lifetime_secs: Lebensdauer von ID-Token (Sekunden). Der Standardwert beträgt 3.600 Sekunden (1 Stunde). Der Mindestwert beträgt 300 Sekunden (5 Minuten). Der Höchstwert beträgt 86.400 Sekunden (24 Stunden).
• refresh_token_lifetime_secs: Lebensdauer von Aktualisierungstoken (Sekunden). Der Standardwert ist 1.209.600 (14 Tage). Der Mindestwert beträgt 86.400 Sekunden (24 Stunden). Der Höchstwert ist 7,776,000 Tage.
• rolling_refresh_token_lifetime_secs: Lebensdauer für gleitendes Fenster des Aktualisierungstokens (Sekunden). Der Standardwert beträgt 7.776.000 Sekunden (90 Tage). Der Mindestwert beträgt 86.400 Sekunden (24 Stunden). Der Höchstwert ist 31,536,000 Tage. Wenn Sie keine Lebensdauer für das gleitende Fenster erzwingen möchten, legen Sie den Wert allow_infinite_rolling_refresh_token auf true fest.
• allow_infinite_rolling_refresh_token: Das gleitende Fenster für Aktualisierungstoken läuft nie ab.

So konfigurieren Sie die Kompatibilitätseinstellungen für Benutzerflows

1. Wählen Sie Benutzerflows (Richtlinien) aus.
2. Öffnen Sie den Benutzerflow, den Sie zuvor erstellt haben.
3. Wählen Sie Eigenschaften aus.
4. Passen Sie unter Tokenkompatibilitätseinstellungen die Eigenschaften an die Anforderungen Ihrer Anwendung an.
5. Wählen Sie Speichern aus.

Um die Einstellungen für die Tokenkompatibilität zu ändern, legen Sie in der Erweiterung die Metadaten des technischen Profils für den Tokenaussteller oder die Datei der vertrauenden Seite der Richtlinie fest, die Sie aktualisieren möchten. Das technische Profil für den Tokenaussteller sieht wie im folgenden Beispiel aus:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Ausstelleranspruch (iss): Der Ausstelleranspruch (iss) wird mit dem Metadatenelement IssuanceClaimPattern festgelegt. Die gültigen Werte sind AuthorityAndTenantGuid und AuthorityWithTfp.

• Festlegen des Anspruchs zur Darstellung der Richtlinien-ID: Die Optionen zum Festlegen dieses Werts sind TFP (Vertrauensframework-Richtlinie) und ACR (Authentifizierungskontext-Referenz). Der empfohlene Wert ist TFP. Legen Sie für AuthenticationContextReferenceClaimPattern den Wert None fest.

  Fügen Sie im ClaimsSchema-Element dieses Element hinzu:

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  Fügen Sie in der Richtlinie für die vertrauende Seiteunter dem OutputClaims-Element den folgenden Ausgabeanspruch hinzu:

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  Entfernen Sie für ACR das Element AuthenticationContextReferenceClaimPattern.

• Anspruch „Antragsteller“: Diese Option hat standardmäßig den Wert „ObjectID“. Ersetzen Sie die folgende Zeile, um diese Einstellung in Not Supported zu ändern:

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  Durch diese Zeile:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Wählen Sie Benutzerflows (Richtlinien) aus.
2. Öffnen Sie den Benutzerflow, den Sie zuvor erstellt haben.
3. Wählen Sie Anwendungsansprüche aus.
4. Wählen Sie die Ansprüche und Attribute aus, die an die Anwendung zurückgesendet werden sollen.
5. Wählen Sie Speichern aus.

Ausgabeansprüche des technischen Profils der Richtlinie für die vertrauende Seite sind Werte, die an eine Anwendung zurückgegeben werden. Durch Hinzufügen von Ausgabeansprüchen werden die Ansprüche nach einer erfolgreichen User Journey in das Token ausgegeben und an die Anwendung gesendet. Ändern Sie im Abschnitt für die vertrauende Seite das Element des technischen Profils, um die gewünschten Ansprüche als Ausgabeanspruch hinzuzufügen.

1. Öffnen Sie Ihre benutzerdefinierte Richtliniendatei. Beispiel: SignUpOrSignin.xml.
2. Suchen Sie nach dem OutputClaims-Element. Fügen Sie den OutputClaim hinzu, den Sie in das Token einschließen möchten.
3. Legen Sie die Attribute des Ausgabeanspruchs fest.

Im folgenden Beispiel wird der Anspruch accountBalance hinzugefügt. Der Anspruch „accountBalance“ wird als Kontostand an die Anwendung gesendet.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

Das OutputClaim-Element enthält die folgenden Attribute:

• ClaimTypeReferenceId: Der Bezeichner eines Anspruchstyps, der bereits im ClaimsSchema-Abschnitt der Richtliniendatei oder der übergeordneten Richtliniendatei definiert ist.
• PartnerClaimType: Ermöglicht Ihnen das Ändern des Namens des Anspruchs im Token.
• DefaultValue: Ein Standardwert. Sie können den Standardwert auch auf einen Anspruchskonfliktlöser wie die Mandanten-ID festlegen.
• AlwaysUseDefaultValue: Erzwingt die Verwendung des Standardwerts.