RelyingParty

L'elemento RelyingParty specifica il percorso utente da applicare per la richiesta corrente ad Azure Active Directory B2C (Azure AD B2C). Specifica inoltre l'elenco di attestazioni richiesto dall'applicazione relying party (RP) come parte del token emesso. Un'applicazione RP, ad esempio un'applicazione Web, mobile o desktop, chiama il file dei criteri RP. Il file di criteri RP esegue un'attività specifica, ad esempio l'accesso, la reimpostazione di una password o la modifica di un profilo. Più applicazioni possono usare gli stessi criteri RP e una singola applicazione può usare più criteri. Tutte le applicazioni RP ricevono lo stesso token con attestazioni e l'utente segue lo stesso percorso.

L'esempio seguente mostra un elemento RelyingParty nel file dei criteri B2C_1A_signup_signin:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<TrustFrameworkPolicy
  xmlns:xsi="https://www.w3.org/2001/XMLSchema-instance"
  xmlns:xsd="https://www.w3.org/2001/XMLSchema"
  xmlns="http://schemas.microsoft.com/online/cpim/schemas/2013/06"
  PolicySchemaVersion="0.3.0.0"
  TenantId="your-tenant.onmicrosoft.com"
  PolicyId="B2C_1A_signup_signin"
  PublicPolicyUri="http://your-tenant.onmicrosoft.com/B2C_1A_signup_signin">

  <BasePolicy>
    <TenantId>your-tenant.onmicrosoft.com</TenantId>
    <PolicyId>B2C_1A_TrustFrameworkExtensions</PolicyId>
  </BasePolicy>

  <RelyingParty>
    <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
    <UserJourneyBehaviors>
      <SingleSignOn Scope="Tenant" KeepAliveInDays="7"/>
      <SessionExpiryType>Rolling</SessionExpiryType>
      <SessionExpiryInSeconds>900</SessionExpiryInSeconds>
      <JourneyInsights TelemetryEngine="ApplicationInsights" InstrumentationKey="your-application-insights-key" DeveloperMode="true" ClientEnabled="false" ServerEnabled="true" TelemetryVersion="1.0.0" />
      <ContentDefinitionParameters>
        <Parameter Name="campaignId">{OAUTH-KV:campaignId}</Parameter>
      </ContentDefinitionParameters>
    </UserJourneyBehaviors>
    <TechnicalProfile Id="PolicyProfile">
      <DisplayName>PolicyProfile</DisplayName>
      <Description>The policy profile</Description>
      <Protocol Name="OpenIdConnect" />
      <Metadata>collection of key/value pairs of data</Metadata>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="displayName" />
        <OutputClaim ClaimTypeReferenceId="givenName" />
        <OutputClaim ClaimTypeReferenceId="surname" />
        <OutputClaim ClaimTypeReferenceId="email" />
        <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
        <OutputClaim ClaimTypeReferenceId="identityProvider" />
        <OutputClaim ClaimTypeReferenceId="loyaltyNumber" />
      </OutputClaims>
      <SubjectNamingInfo ClaimType="sub" />
    </TechnicalProfile>
  </RelyingParty>
  ...

L'elemento RelyingParty facoltativo contiene gli elementi seguenti:

È necessario creare gli elementi figlio RelyingParty nell'ordine presentato nella tabella precedente.

Endpoint

L'elemento Endpoints contiene l'elemento seguente:

L'elemento Endpoint contiene gli attributi seguenti:

L'esempio seguente mostra una relying party con l'endpoint UserInfo:

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <Endpoints>
    <Endpoint Id="UserInfo" UserJourneyReferenceId="UserInfoJourney" />
  </Endpoints>
  ...

DefaultUserJourney

L'elemento DefaultUserJourney specifica un riferimento all'identificatore del percorso utente definito nei criteri Base o Extensions. Gli esempi seguenti mostrano il percorso utente di iscrizione o accesso specificato nell'elemento RelyingParty:

Criterio B2C_1A_signup_signin:

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn">
  ...

B2C_1A_TrustFrameWorkBase o B2C_1A_TrustFrameworkExtensionPolicy:

<UserJourneys>
  <UserJourney Id="SignUpOrSignIn">
  ...

L'elemento DefaultUserJourney contiene l'attributo seguente:

UserJourneyBehaviors

L'elemento UserJourneyBehaviors contiene gli elementi seguenti:

Quando si usano gli elementi precedenti, è necessario aggiungerli all'elemento UserJourneyBehaviors nell'ordine specificato nella tabella. Ad esempio, l'elemento JourneyInsights deve essere aggiunto prima (sopra) dell'elemento ScriptExecution .

SingleSignOn

L'elemento SingleSignOn contiene gli attributi seguenti:

JourneyInsights

L'elemento JourneyInsights contiene gli attributi seguenti:

Per altre informazioni, vedere Raccolta dei log

ContentDefinitionParameters

I criteri personalizzati di Azure AD B2C consentono di inviare un parametro in una stringa di query. Passando il parametro all'endpoint HTML, è possibile modificare dinamicamente il contenuto della pagina. È ad esempio possibile modificare l'immagine di sfondo della pagina di accesso o di iscrizione ad Azure AD B2C in base a un parametro passato dall'applicazione Web o per dispositivi mobili. Azure AD B2C passa i parametri delle stringhe di query al file HTML dinamico, ad esempio il file con estensione aspx.

L'esempio seguente passa un parametro denominato campaignId con un valore hawaii nella stringa di query:

https://login.microsoft.com/contoso.onmicrosoft.com/oauth2/v2.0/authorize?pB2C_1A_signup_signin&client_id=00001111-aaaa-2222-bbbb-3333cccc4444&nonce=defaultNonce&redirect_uri=http%3A%2F%2Fjwt.io%2F&scope=openid&response_type=id_token&prompt=login&campaignId=hawaii

L'elemento ContentDefinitionParameters contiene l'elemento seguente:

L'elemento ContentDefinitionParameter contiene l'attributo seguente:

Per altre informazioni, vedere Configurare l'interfaccia utente con contenuto dinamico usando criteri personalizzati

JourneyFraming

L'elemento JourneyFraming contiene gli attributi seguenti:

TechnicalProfile

L'elemento TechnicalProfile contiene l'attributo seguente:

L'elemento TechnicalProfile contiene gli elementi seguenti:

L'elemento Protocol contiene l'attributo seguente:

Metadati UFX

Quando il protocollo è SAML, un elemento di metadati contiene gli elementi seguenti. Per altre informazioni, vedere Opzioni per la registrazione di un'applicazione SAML in Azure AD B2C.

InputClaims

L'elemento InputClaims contiene l'elemento seguente:

L'elemento InputClaim contiene gli attributi seguenti:

OutputClaims

L'elemento OutputClaims contiene l'elemento seguente:

L'elemento OutputClaim contiene gli attributi seguenti:

SubjectNamingInfo

Con l'elemento SubjectNamingInfo è possibile controllare il valore dell'oggetto del token:

• Token JWT: attestazione sub . Indica l'entità di sicurezza su cui il token rilascia informazioni, ad esempio l'utente di un'applicazione. Questo valore non è modificabile e non può essere riassegnato o riutilizzato. Può essere usato per eseguire controlli di autorizzazione sicuri, ad esempio quando il token viene usato per accedere a una risorsa. Per impostazione predefinita, l'attestazione dell'oggetto viene popolata con l'ID oggetto dell'utente nella directory. Per altre informazioni, vedere Configurazione di token, sessione e accesso Single Sign-On.
• Token SAML: elemento <Subject><NameID> che identifica l'elemento soggetto. È possibile modificare il formato NameId.

L'elemento SubjectNamingInfo contiene l'attributo seguente:

Nell'esempio seguente viene illustrato come definire una relying party OpenID Connect. Le informazioni sul nome del soggetto sono configurate come objectId:

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

Il token JWT include l'attestazione sub con l'elemento objectId dell'utente:

{
  ...
  "sub": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  ...
}

Nell'esempio seguente viene illustrato come definire una relying party SAML. Le informazioni sul nome soggetto sono configurate come objectIde nameId format è stato fornito:

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="SAML2" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"/>
  </TechnicalProfile>
</RelyingParty>