Passer un jeton d’accès de fournisseur d’identité à votre application dans Azure Active Directory B2C

Azure AD B2C permet uniquement de passer le jeton d’accès de fournisseurs d’identité OAuth 2.0 (dont font partie Facebook et Google). Pour tous les autres fournisseurs d’identité, la revendication est retournée vide.

Azure AD B2C prend en charge la transmission du jeton d'accès des fournisseurs d'identité OAuth 2.0 et OpenID Connect. Pour tous les autres fournisseurs d’identité, la revendication est retournée vide. Pour plus d’informations, consultez la démonstration en directde la fédération des fournisseurs d’identités.

• Créez un flux d’utilisateurs pour permettre aux utilisateurs de s’inscrire et de se connecter à votre application.
• Inscrire une application web.

• Suivez les étapes dans Bien démarrer avec les stratégies personnalisées dans Active Directory B2C
• Inscrire une application web.

Activer la revendication

1. Connectez-vous au portail Azure en tant qu’administrateur général de votre locataire Azure AD B2C.

2. Si vous avez accès à plusieurs tenants (locataires), sélectionnez l’icône Paramètres dans le menu supérieur pour basculer vers votre tenant Azure AD B2C à partir du menu Annuaires + abonnements.

3. Choisissez Tous les services dans le coin supérieur gauche du Portail Azure, recherchez et sélectionnez Azure Active Directory B2C.

4. Sélectionnez Flux utilisateur (stratégies) , puis votre flux utilisateur. Par exemple, B2C_1_signupsignin1.

5. Cliquez sur Revendications de l’application.

6. Activez la revendication Jeton d’accès du fournisseur d’identité.

   

7. Cliquez sur Enregistrer pour enregistrer le flux utilisateur.

Tester le flux utilisateur

Quand vous testez vos applications dans Azure AD B2C, il peut être utile de retourner le jeton Azure AD B2C à https://jwt.ms pour passer en revue les revendications qu’il contient.

1. Dans la page Vue d’ensemble du flux utilisateur, sélectionnez Exécuter le flux d’utilisateur.

2. Pour Application, sélectionnez l’application que vous avez précédemment inscrite. Pour voir le jeton dans l’exemple ci-dessous, l’URL de réponse doit indiquer https://jwt.ms.

3. Cliquez sur Exécuter le flux d’utilisateur, puis connectez-vous avec les informations d’identification de votre compte. Vous devez voir le jeton d’accès du fournisseur d’identité dans la revendication idp_access_token.

   Vous devriez voir quelque chose de similaire à l’exemple suivant :

   

Ajouter les éléments de la revendication

1. Ouvrez votre fichier TrustframeworkExtensions.xml et ajoutez l’élément ClaimType avec l’identificateur identityProviderAccessToken à l’élément ClaimsSchema :

   <BuildingBlocks>
     <ClaimsSchema>
       <ClaimType Id="identityProviderAccessToken">
         <DisplayName>Identity Provider Access Token</DisplayName>
         <DataType>string</DataType>
         <AdminHelpText>Stores the access token of the identity provider.</AdminHelpText>
       </ClaimType>
       ...
     </ClaimsSchema>
   </BuildingBlocks>
   

2. Ajoutez l’élément OutputClaim à l’élément TechnicalProfile pour chaque fournisseur d’identité OAuth 2.0 dont vous souhaitez avoir le jeton d’accès. L’exemple suivant montre l’élément ajouté au profil technique de Facebook :

   <ClaimsProvider>
     <DisplayName>Facebook</DisplayName>
     <TechnicalProfiles>
       <TechnicalProfile Id="Facebook-OAUTH">
         <OutputClaims>
           <OutputClaim ClaimTypeReferenceId="identityProviderAccessToken" PartnerClaimType="{oauth2:access_token}" />
         </OutputClaims>
         ...
       </TechnicalProfile>
     </TechnicalProfiles>
   </ClaimsProvider>
   

3. Enregistrez le fichier TrustframeworkExtensions.xml.

4. Ouvrez le fichier de stratégie de votre partie de confiance, par exemple SignUpOrSignIn.xml, puis ajoutez l’élément OutputClaim à TechnicalProfile :

   <RelyingParty>
     <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
     <TechnicalProfile Id="PolicyProfile">
       <OutputClaims>
         <OutputClaim ClaimTypeReferenceId="identityProviderAccessToken" PartnerClaimType="idp_access_token"/>
       </OutputClaims>
       ...
     </TechnicalProfile>
   </RelyingParty>
   

5. Enregistrez le fichier de stratégie.

Tester votre stratégie

Quand vous testez vos applications dans Azure AD B2C, il peut être utile de retourner le jeton Azure AD B2C à https://jwt.ms pour passer en revue les revendications qu’il contient.

Téléchargement des fichiers

1. Connectez-vous au portail Azure.
2. Si vous avez accès à plusieurs tenants (locataires), sélectionnez l’icône Paramètres dans le menu supérieur pour basculer vers votre tenant Azure AD B2C à partir du menu Annuaires + abonnements.
3. Choisissez Tous les services dans le coin supérieur gauche du portail Azure, puis recherchez et sélectionnez Azure AD B2C.
4. Sélectionnez Infrastructure d’expérience d’identité.
5. Dans la page Stratégies personnalisées, cliquez sur Charger une stratégie.
6. Activez Remplacer la stratégie si elle existe, puis recherchez et sélectionnez le fichier TrustframeworkExtensions.xml.
7. Sélectionnez Télécharger.
8. Répétez les étapes 5 à 7 pour le fichier de la partie de confiance (par exemple, SignUpOrSignIn.xml).

Exécuter la stratégie

1. Ouvrez la stratégie que vous avez changée. Par exemple, B2C_1A_signup_signin.

2. Pour Application, sélectionnez l’application que vous avez précédemment inscrite. Pour voir le jeton dans l’exemple ci-dessous, l’URL de réponse doit indiquer https://jwt.ms.

3. Sélectionnez Exécuter maintenant.

   Vous devriez voir quelque chose de similaire à l’exemple suivant :

   

Transmettre le jeton d’actualisation du fournisseur d’identité (facultatif)

Le jeton d’accès retourné par le fournisseur d’identité est valide pendant un temps limité. Certains fournisseurs d’identité émettent également un jeton d’actualisation avec le jeton d’accès. Votre application cliente peut alors échanger ce jeton d’actualisation du fournisseur d'identité contre un nouveau jeton d’accès si nécessaire.

La stratégie personnalisée Azure AD B2C prend en charge la transmission du jeton d’accès de fournisseurs d’identité OAuth 2.0 (dont font partie Facebook, Google et GitHub).

Pour transmettre le jeton d’actualisation du fournisseur d’identité, procédez comme suit :

1. Ouvrez votre fichier TrustframeworkExtensions.xml et ajoutez l’élément ClaimType suivant avec l’identificateur de identityProviderRefreshToken à l’élément ClaimsSchema.

   <ClaimType Id="identityProviderRefreshToken">
       <DisplayName>Identity provider refresh token</DisplayName>
       <DataType>string</DataType>
   </ClaimType>
   

2. Ajoutez l’élément OutputClaim à l’élément TechnicalProfile pour chaque fournisseur d’identité OAuth 2.0 pour lequel vous souhaitez avoir le jeton d’actualisation. L’exemple suivant montre l’élément ajouté au profil technique de Facebook :

   <ClaimsProvider>
     <DisplayName>Facebook</DisplayName>
     <TechnicalProfiles>
       <TechnicalProfile Id="Facebook-OAUTH">
         <OutputClaims>
           <OutputClaim ClaimTypeReferenceId="identityProviderRefreshToken" PartnerClaimType="{oauth2:refresh_token}" />
         </OutputClaims>
         ...
       </TechnicalProfile>
     </TechnicalProfiles>
   </ClaimsProvider>
   

3. Certains fournisseurs d’identité vous obligent à insérer des métadonnées ou des étendues dans le profil technique du fournisseur d’identité.

   • Pour le fournisseur d’identité Google, ajoutez les deux types de revendications access_type et prompt. Ajoutez ensuite les revendications d’entrée suivantes au profil technique du fournisseur d’identité :

     <InputClaims>
         <InputClaim ClaimTypeReferenceId="access_type" PartnerClaimType="access_type" DefaultValue="offline" AlwaysUseDefaultValue="true" />
     
         <!-- The refresh_token is return only on the first authorization for a given user. Subsequent authorization request doesn't return the refresh_token.
             To fix this issue we add the prompt=consent query string parameter to the authorization request-->
         <InputClaim ClaimTypeReferenceId="prompt" PartnerClaimType="prompt" DefaultValue="consent" AlwaysUseDefaultValue="true" />
     </InputClaims>
     

   • D’autres fournisseurs d’identité peuvent avoir des méthodes différentes pour émettre un jeton d’actualisation. Suivez le public visé par le fournisseur d’identité et ajoutez les éléments nécessaires au profil technique de votre fournisseur d’identité.

4. Enregistrez les modifications apportées dans votre fichier TrustframeworkExtensions.xml .

5. Ouvrez le fichier de stratégie de votre partie de confiance, par exemple SignUpOrSignIn.xml, puis ajoutez l’élément OutputClaim à TechnicalProfile :

   <RelyingParty>
     <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
     <TechnicalProfile Id="PolicyProfile">
       <OutputClaims>
         <OutputClaim ClaimTypeReferenceId="identityProviderRefreshToken" PartnerClaimType="idp_refresh_token"/>
       </OutputClaims>
       ...
     </TechnicalProfile>
   </RelyingParty>
   

6. Enregistrez les modifications apportées dans votre fichier de stratégie de partie de confiance.

7. Chargez le fichier TrustframeworkExtensions.xml, puis le fichier de stratégie de partie de confiance.

8. Tester votre stratégie