Configurare i token in Azure Active Directory B2C

• Creare un flusso utente in modo che gli utenti possano iscriversi e accedere all'applicazione.
• Registrare un'applicazione Web.

• Completare i passaggi descritti in Introduzione ai criteri personalizzati in Active Directory B2C
• Registrare un'applicazione Web.

Per configurare la durata del token del flusso utente:

1. Accedi al portale di Azure.
2. Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.
3. Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Azure AD B2C.
4. Selezionare Flussi utente (criteri).
5. Aprire il flusso utente creato in precedenza.
6. Selezionare Proprietà.
7. In Durata token modificare le proprietà in base alle esigenze dell'applicazione.
8. Seleziona Salva.

Per modificare le impostazioni sulla compatibilità dei token, impostare i metadati del profilo tecnico dell'autorità di certificazione token nell'estensione o il file relying party del criterio che si vuole influire. Il profilo tecnico dell'autorità di certificazione del token è simile all'esempio seguente:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

Nell'esempio precedente vengono impostati i valori seguenti.

• token_lifetime_secs - Durata dei token di accesso (secondi). Il valore predefinito è 3.600 (1 ora). Il minimo è 300 (5 minuti). Il valore massimo è 86.400 (24 ore).
• id_token_lifetime_secs - Durata dei token ID (secondi). Il valore predefinito è 3.600 (1 ora). Il minimo è 300 (5 minuti). Il valore massimo è 86.400 (24 ore).
• refresh_token_lifetime_secs Durata del token di aggiornamento (secondi). Il valore predefinito è 1.209.600 (14 giorni). Il valore minimo è 86.400 (24 ore). Il valore massimo è 7.776.000 (90 giorni).
• rolling_refresh_token_lifetime_secs : durata della finestra temporale temporale scorrevole del token di aggiornamento (secondi). Il valore predefinito è 7.776.000 (90 giorni). Il valore minimo è 86.400 (24 ore). Il valore massimo è 31.536.000 (365 giorni). Se non si vuole applicare una durata temporale scorrevole, impostare il valore di allow_infinite_rolling_refresh_token su true.
• allow_infinite_rolling_refresh_token : la durata della finestra temporale temporale scorrevole del token di aggiornamento non scade mai.

Per configurare le impostazioni di compatibilità del flusso utente:

1. Selezionare Flussi utente (criteri).
2. Aprire il flusso utente creato in precedenza.
3. Selezionare Proprietà.
4. In Impostazioni di compatibilità dei token modificare le proprietà in base alle esigenze dell'applicazione.
5. Seleziona Salva.

Per modificare le impostazioni sulla compatibilità dei token, impostare i metadati del profilo tecnico dell'autorità di certificazione token nell'estensione o il file relying party dei criteri da aggiornare. Il profilo tecnico dell'autorità di certificazione del token è simile all'esempio seguente:

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• Attestazione autorità di certificazione (iss): l'attestazione dell'autorità di certificazione (iss) viene impostata con l'elemento dei metadati IssuanceClaimPattern. I valori applicabili sono AuthorityAndTenantGuid e AuthorityWithTfp.

• Impostazione dell'attestazione che rappresenta l'ID criteri: per impostare questo valore sono disponibili le opzioni TFP (criteri del framework attendibilità) e ACR (riferimento al contesto di autenticazione). Il valore consigliato è TFP. Impostare AuthenticationContextReferenceClaimPattern con il valore None.

  Nell'elemento ClaimsSchema, aggiungere l'elemento seguente:

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  Nei criteri della relying party aggiungere l'attestazione di output seguente nell'elemento OutputClaims :

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  Per ACR, rimuovere l'elemento AuthenticationContextReferenceClaimPattern.

• Attestazione soggetto (sub): l'impostazione predefinita di questa opzione è ObjectID. Per modificare l'impostazione in Not Supported, sostituire questa riga:

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  con questa riga:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. Selezionare Flussi utente (criteri).
2. Aprire il flusso utente creato in precedenza.
3. Selezionare Attestazioni dell'applicazione.
4. Scegliere le attestazioni e gli attributi da inviare all'applicazione.
5. Seleziona Salva.

Le attestazioni di output del profilo tecnico dei criteri relying party sono valori restituiti a un'applicazione. L'aggiunta di attestazioni di output emetterà le attestazioni nel token dopo un percorso utente riuscito e verrà inviata all'applicazione. Modificare l'elemento del profilo tecnico all'interno della sezione relying party per aggiungere le attestazioni desiderate come attestazione di output.

1. Aprire il file dei criteri personalizzati. Ad esempio, SignUpOrSignin.xml.
2. Trovare l'elemento OutputClaims. Aggiungere l'outputClaim che si vuole includere nel token.
3. Impostare gli attributi dell'attestazione di output.

Nell'esempio seguente viene aggiunta l'attestazione accountBalance . L'attestazione accountBalance viene inviata all'applicazione come saldo.

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

L'elemento OutputClaim contiene gli attributi seguenti:

• ClaimTypeReferenceId : identificatore di un tipo di attestazione già definito nella sezione ClaimsSchema nel file di criteri o nel file dei criteri padre.
• PartnerClaimType : consente di modificare il nome dell'attestazione nel token.
• DefaultValue : valore predefinito. È anche possibile impostare il valore predefinito su un resolver di attestazioni, ad esempio l'ID tenant.
• AlwaysUseDefaultValue : forzare l'uso del valore predefinito.