Benutzerprofilattribute

Ihr Azure Active Directory B2C (Azure AD B2C)-Verzeichnisbenutzerprofil verfügt über eine Reihe integrierter Attribute, wie z. B. Vorname, Nachname, Stadt, Postleitzahl und Telefonnummer. Sie können das Benutzerprofil mit Ihren eigenen Anwendungsdaten erweitern, ohne dass ein externer Datenspeicher erforderlich ist.

Die Microsoft Graph-API unterstützt die meisten Attribute, die Sie mit Azure verwenden können. Dieser Artikel beschreibt Benutzerprofilattribute, die Azure AD B2C unterstützt. Außerdem werden die Attribute vermerkt, die von Microsoft Graph nicht unterstützt werden, und die Microsoft Graph-API-Attribute, die Azure AD B2C nicht verwenden sollte.

Sie können auch externe Systeme integrieren. Sie können z. B. Azure AD B2C für die Authentifizierung verwenden und eine externe Datenbank für Kundenbeziehungsmanagement (Customer Relationship Management, CRM) oder Kundendatenbank als autoritative Quelle der Kundendaten nutzen. Weitere Informationen finden Sie unter Lösung für Remoteprofile.

Microsoft Entra-Benutzerressourcentyp

Das Azure AD B2C-Verzeichnisbenutzerprofil unterstützt die Attribute des Benutzerressourcentyps, die in der folgenden Tabelle aufgeführt sind. Darin sind die folgenden Informationen zu den einzelnen Attributen enthalten:

• Der von Azure AD B2C verwendete Attributname (gefolgt vom Microsoft Graph-Namen in Klammern, falls dieser anders lautet)
• Attributdatentyp
• Attributbeschreibung
• Ob das Attribut im Azure-Portal verfügbar ist
• Ob das Attribut in einem Benutzerflow verwendet werden kann
• Ob das Attribut in einem technischen Microsoft Entra ID-Profil in einer benutzerdefinierten Richtlinie verwendet werden kann und in welchem Abschnitt (<InputClaims>, <OutputClaims> oder <PersistedClaims>)

¹ Wird von Microsoft Graph nicht unterstützt
² Weitere Informationen finden Sie unter MFA-Attribut „Telefonnummer“
³ Sollte nicht mit Azure AD B2C verwendet werden

Erforderliche Attribute

Geben Sie die folgenden erforderlichen Attribute an, um im Azure AD B2C-Verzeichnis ein Benutzerkonto zu erstellen:

• Anzeigename

• Identitäten: Mindestens eine vorhandene Entität (lokales oder Verbundkonto).

• Kennwortprofil: Geben Sie das Kennwortprofil an, wenn Sie ein lokales Konto erstellen.

Anzeigenamenattribut

displayName ist der Name, der in der Benutzerverwaltung des Azure-Portals für den Benutzer angezeigt wird und im Zugriffstoken, den Azure AD B2C an die Anwendung zurückgibt. Diese Eigenschaft ist obligatorisch.

Attribut „identities“/Identitätenattribut

Einem Kundenkonto (von einem Endbenutzer, einem Partner oder einem anderen Benutzer) kann einer der folgenden Identitätstypen zugeordnet werden:

• Lokale Identität: Der Benutzername und das Kennwort werden lokal im Azure AD B2C-Verzeichnis gespeichert. Diese Identitäten werden häufig als „lokale Konten“ bezeichnet.
• Verbundidentität: Die Identitäten dieser auch als Konten für soziale Netzwerke oder Unternehmenskonten bezeichneten Benutzer werden von einem Verbundidentitätsanbieter wie Facebook, Microsoft, AD FS oder Salesforce verwaltet.

Ein Benutzer mit einem Kundenkonto kann sich mit mehreren Identitäten anmelden. Er kann z. B. den Benutzernamen, die E-Mail-Adresse, die Mitarbeiter-ID, eine Behördenkennung und andere Daten verwenden. Ein einzelnes Konto kann über mehrere Identitäten verfügen. Dabei kann es sich um lokale Identitäten und Identitäten für soziale Netzwerke handeln, die auch dasselbe Kennwort nutzen können.

In der Microsoft Graph-API werden sowohl lokale als auch Verbundidentitäten im Benutzerattribut identities gespeichert, das den Typ objectIdentity aufweist. Die Sammlung identities stellt einen Satz von Identitäten dar, die für die Anmeldung bei einem Benutzerkonto verwendet werden. Diese Sammlung ermöglicht dem Benutzer, sich mit den zugehörigen Identitäten beim Benutzerkonto anzumelden. Das „identities“-Attribut kann bis zu 10 objectIdentity-Objekte enthalten. Jedes Objekt enthält die folgenden Eigenschaften:

Der folgende JSON-Codeschnipsel zeigt das Identities-Attribut mit einer lokalen Kontoidentität mit einem Anmeldenamen, einer E-Mail-Adresse für die Anmeldung und einer Identität für ein soziales Netzwerk.

"identities": [
  {
    "signInType": "userName",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "johnsmith"
  },
  {
    "signInType": "emailAddress",
    "issuer": "contoso.onmicrosoft.com",
    "issuerAssignedId": "jsmith@yahoo.com"
  },
  {
    "signInType": "federated",
    "issuer": "facebook.com",
    "issuerAssignedId": "5eecb0cd"
  }
]

Bei Verbundidentitäten handelt es sich abhängig vom Identitätsanbieter bei der issuerAssignedId um einen eindeutigen Wert für einen bestimmten Benutzer pro Anwendung oder ein Entwicklungskonto. Konfigurieren Sie die Azure AD B2C-Richtlinie mit der gleichen Anwendungs-ID, die der Anbieter des sozialen Netzwerks oder eine andere Anwendung im selben Entwicklungskonto zuweist.

Eigenschaft „passwordProfile“ (Kennwortprofil)

Für eine lokale Identität ist das Attribut passwordProfile erforderlich, und es enthält das Kennwort des Benutzers. Das Attribut forceChangePasswordNextSignIn gibt an, ob ein Benutzer bei der nächsten Anmeldung das Kennwort zurücksetzen muss. das Verarbeiten eines erzwungenen Zurücksetzens des Kennworts festgelegt ist, verwenden Sie die Anweisungen unter Einrichten des erzwungenes Zurücksetzen des Kennworts.

Für eine Verbundidentität (Identität für ein soziales Netzwerk) ist das Attribut passwordProfile nicht erforderlich.

"passwordProfile" : {
    "password": "password-value",
    "forceChangePasswordNextSignIn": false
  }

Attribut „passwordPolicies“/Kennwortrichtlinienattribut

Die Kennwortrichtlinie von Azure AD B2C (für lokale Konten) basiert auf der Richtlinie für hohe Kennwortsicherheit von Microsoft Entra ID. Die Azure AD B2C-Richtlinien zur Registrierung, Anmeldung und Kennwortzurücksetzung erfordern sichere Kennwörter, die nicht ablaufen.

Wenn bei Benutzermigrationsvorgängen die Konten, die Sie migrieren möchten, über eine geringere Kennwortsicherheit als die hohe Kennwortsicherheit unter Azure AD B2C verfügen, können Sie die Erzwingung sicherer Kennwörter deaktivieren. Um die Standardkennwortrichtlinie zu ändern, legen Sie das Attribut passwordPolicies auf DisableStrongPassword fest. Beispielsweise können Sie die Anforderung zum Erstellen eines Benutzers wie folgt ändern:

"passwordPolicies": "DisablePasswordExpiration, DisableStrongPassword"

MFA-Attribut „Telefonnummer“

Wenn Sie für die Multi-Faktor-Authentifizierung (Multi-Factor Authentication, MFA) ein Telefon verwenden, wird die Benutzeridentität anhand des Mobiltelefons überprüft. Wenn Sie programmgesteuert eine Telefonnummer neu hinzufügen, aktualisieren, abrufen oder löschen möchten, verwenden Sie die Authentifizierungsmethode per Telefon der Microsoft Graph-API.

In den benutzerdefinierten Richtlinien von Azure AD B2C ist die Telefonnummer über den Anspruchstyp strongAuthenticationPhoneNumber verfügbar.

Erweiterungsattribute

Für jede kundenorientierte Anwendung gelten spezifische Anforderungen im Hinblick auf die Informationen, die erfasst werden sollen. Ihr Azure AD B2C-Mandant umfasst einen integrierten Satz von in Eigenschaften gespeicherten Informationen, z. B. Vorname, Nachname und Postleitzahl. Mit Azure AD B2C haben Sie die Möglichkeit, den für die einzelnen Kundenkonten gespeicherten Satz von Eigenschaften zu erweitern. Weitere Informationen finden Sie unter Hinzufügen von Benutzerattributen und Anpassen der Benutzereingabe in Azure Active Directory B2C.

Erweiterungsattribute erweitern das Schema der Benutzerobjekte im Verzeichnis. Die Erweiterungsattribute können nur für ein Anwendungsobjekt registriert werden, obwohl sie Daten für einen Benutzer enthalten können. Das Erweiterungsattribut wird an die Anwendung namens b2c-extensions-app angefügt. Nehmen Sie keine Änderungen an dieser Anwendung vor. Sie wird von Azure AD B2C zum Speichern von Benutzerdaten verwendet. Sie finden diese Anwendung unter Microsoft Entra-App-Registrierungen. Erfahren Sie mehr über Azure AD B2Cb2c-extensions-app.

Erweiterungsattribute in der Graph-API werden nach der Konvention extension_ApplicationClientID_AttributeName benannt, wobei:

• ApplicationClientID ist die Anwendungs-ID (Client-ID) der Anwendung b2c-extensions-app. Erfahren Sie, wie Sie die Erweiterungs-App finden.
• AttributeName ist der Name des Erweiterungsattributs.

Die zum Erstellen des Namens des Erweiterungsattributs verwendete Anwendungs-ID (Client) enthält keine Bindestriche. Beispiel:

"extension_831374b3bd5041bfaa54263ec9e050fc_loyaltyNumber": "212342"

Für das Definieren eines Attributs in einer Schemaerweiterung werden die folgenden Datentypen unterstützt:

Nächste Schritte

Erfahren Sie mehr über Erweiterungsattribute:

• Schemaerweiterungen
• Definieren von benutzerdefinierten Attributen