Configurare il comportamento della sessione in Azure Active Directory B2C

• Creare un flusso utente in modo che gli utenti possano iscriversi e accedere all'applicazione.
• Registrare un'applicazione Web.

• Completare i passaggi descritti in Introduzione ai criteri personalizzati in Active Directory B2C
• Registrare un'applicazione Web.

Configurare il flusso utente

Per configurare il comportamento della sessione nel flusso utente, seguire questa procedura:

1. Accedi al portale di Azure.
2. Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.
3. Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Azure AD B2C.
4. Selezionare Flussi utente.
5. Aprire il flusso utente creato in precedenza.
6. Selezionare Proprietà.
7. Configurare la durata della sessione dell'app Web (minuti), il timeout della sessione dell'app Web, la configurazione single sign-on e Richiedi token ID nelle richieste di disconnessione in base alle esigenze.
8. Fare clic su Salva.

Configurare i criteri personalizzati

Per configurare il comportamento della sessione nei criteri personalizzati, seguire questa procedura:

1. Aprire il file relying party (RP), ad esempio SignUpOrSignin.xml

2. Se non esiste già, aggiungere l'elemento seguente <UserJourneyBehaviors> all'elemento <RelyingParty> . Deve trovarsi immediatamente dopo <DefaultUserJourney ReferenceId="UserJourney Id"/>.

   <UserJourneyBehaviors>
     <SingleSignOn Scope="Application" />
     <SessionExpiryType>Absolute</SessionExpiryType>
     <SessionExpiryInSeconds>86400</SessionExpiryInSeconds>
   </UserJourneyBehaviors>
   

   Dopo aver aggiunto gli elementi del comportamento del percorso utente, l'elemento RelyingParty dovrebbe essere simile all'esempio seguente:

   <RelyingParty>
     <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
     <UserJourneyBehaviors>
       <SingleSignOn Scope="Application" />
       <SessionExpiryType>Absolute</SessionExpiryType>
       <SessionExpiryInSeconds>86400</SessionExpiryInSeconds>
     </UserJourneyBehaviors>
     <TechnicalProfile Id="PolicyProfile">
       <DisplayName>PolicyProfile</DisplayName>
       <Protocol Name="OpenIdConnect" />
       <OutputClaims>
         <OutputClaim ClaimTypeReferenceId="displayName" />
         <OutputClaim ClaimTypeReferenceId="givenName" />
         ...
       </OutputClaims>
       <SubjectNamingInfo ClaimType="sub" />
     </TechnicalProfile>
   </RelyingParty>
   

3. Modificare il valore dell'attributo Scope in uno dei possibili valori: Suppressed, Tenant, Applicationo Policy. Per altre informazioni, vedere l'articolo di riferimento relyingParty .

4. Impostare l'elemento SessionExpiryType su Rolling o Absolute. Per altre informazioni, vedere l'articolo di riferimento relyingParty .

5. Impostare l'elemento SessionExpiryInSeconds su un valore numerico compreso tra 900 secondi (15 minuti) e 86.400 secondi (24 ore). Per altre informazioni, vedere l'articolo di riferimento relyingParty .

Servizio di gestione delle chiavi I è configurabile a livello di flusso utente singolo. Prima di abilitare Servizio di gestione delle chiavi I per i flussi utente, considerare quanto segue:

• Servizio di gestione delle chiavi I è supportato solo per Versioni consigliate di iscrizione e accesso (SUSI), accesso e modifica dei profili dei flussi utente. Se si dispone attualmente di versioni standard (legacy) o legacy - v2 di questi flussi utente e si vuole abilitare Servizio di gestione delle chiavi I, è necessario creare nuove versioni consigliate di questi flussi utente.
• Servizio di gestione delle chiavi I non è supportato con la reimpostazione della password o i flussi utente di iscrizione.
• Se si vuole abilitare Servizio di gestione delle chiavi I per tutte le applicazioni nel tenant, è consigliabile abilitare Servizio di gestione delle chiavi I per tutti i flussi utente nel tenant. Poiché un utente può essere presentato con più criteri durante una sessione, è possibile che si verifichi uno che non abbia Servizio di gestione delle chiavi I abilitato, che rimuoverebbe il cookie Servizio di gestione delle chiavi I dalla sessione.
• Servizio di gestione delle chiavi I non deve essere abilitato nei computer pubblici.

Configurare Servizio di gestione delle chiavi I per un flusso utente

Per abilitare Servizio di gestione delle chiavi I per il flusso utente:

1. Accedi al portale di Azure.

2. Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.

3. Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Azure AD B2C.

4. Selezionare Flussi utente (criteri).

5. Aprire il flusso utente creato in precedenza.

6. Selezionare Proprietà.

7. In Comportamento sessione selezionare Abilita mantieni la sessione di accesso. Accanto a Mantieni la sessione di accesso (giorni) immettere un valore compreso tra 1 e 90 per specificare il numero di giorni in cui una sessione può rimanere aperta.

   

Gli utenti non devono abilitare questa opzione nei computer pubblici.

Configurare l'identificatore di pagina

Per abilitare Servizio di gestione delle chiavi I, impostare l'elemento definizione DataUri del contenuto sull'identificatoreunifiedssp di pagina e sulla versionedella pagina 1.1.0 o successiva.

1. Aprire il file di estensione dei criteri, Ad esempio, SocialAndLocalAccounts/TrustFrameworkExtensions.xml. Questo file di estensione è uno dei file di criteri inclusi nel pacchetto di avvio dei criteri personalizzati, ottenuto nei prerequisiti, Introduzione ai criteri personalizzati.

2. Cercare l'elemento BuildingBlocks. Se l'elemento non esiste, aggiungerlo.

3. Aggiungere l'elemento ContentDefinitions all'elemento BuildingBlocks del criterio.

   I criteri personalizzati dovrebbero essere simili al frammento di codice seguente:

   <BuildingBlocks>
     <ContentDefinitions>
       <ContentDefinition Id="api.signuporsignin">
         <DataUri>urn:com:microsoft:aad:b2c:elements:unifiedssp:1.1.0</DataUri>
       </ContentDefinition>
     </ContentDefinitions>
   </BuildingBlocks>
   

Aggiungere i metadati al profilo tecnico autocertivi

Per aggiungere la casella di controllo Servizio di gestione delle chiavi I alla pagina di iscrizione e accesso, impostare i setting.enableRememberMe metadati su true. Eseguire l'override dei profili tecnici SelfAsserted-LocalAccountSignin-Email nel file di estensione.

1. Trovare l'elemento ClaimsProviders. Se l'elemento non esiste, aggiungerlo.

2. Aggiungere il provider di attestazioni seguente all'elemento ClaimsProviders:

   <ClaimsProvider>
     <DisplayName>Local Account</DisplayName>
     <TechnicalProfiles>
       <TechnicalProfile Id="SelfAsserted-LocalAccountSignin-Email">
         <Metadata>
           <Item Key="setting.enableRememberMe">True</Item>
         </Metadata>
       </TechnicalProfile>
     </TechnicalProfiles>
   </ClaimsProvider>
   

3. Salvare il file delle estensioni.

Configurare un file relying party

Aggiornare il file della relying party (RP) che avvierà il percorso utente appena creato. Il keepAliveInDays parametro consente di configurare la durata del salvataggio permanente del cookie di sessione keep me signed in (Servizio di gestione delle chiavi I). Ad esempio, se si imposta il valore su 30, Servizio di gestione delle chiavi I cookie di sessione viene mantenuto per 30 giorni. L'intervallo per il valore è compreso tra 1 e 90 giorni. Se si imposta il valore su 0, la funzionalità KMSI viene disattivata.

1. Aprire il file dei criteri personalizzati. Ad esempio, SignUpOrSignin.xml.

2. Se non esiste già, aggiungere un <UserJourneyBehaviors> nodo figlio al <RelyingParty> nodo. Deve trovarsi immediatamente dopo <DefaultUserJourney ReferenceId="User journey Id" />, ad esempio : <DefaultUserJourney ReferenceId="SignUpOrSignIn" />.

3. Aggiungere il nodo seguente come figlio dell'elemento <UserJourneyBehaviors>.

   <UserJourneyBehaviors>
     <SingleSignOn Scope="Tenant" KeepAliveInDays="30" />
     <SessionExpiryType>Absolute</SessionExpiryType>
     <SessionExpiryInSeconds>1200</SessionExpiryInSeconds>
   </UserJourneyBehaviors>
   

Si impostano sia KeepAliveInDays che SessionExpiryInSeconds in modo che durante un accesso, se un utente abilita Servizio di gestione delle chiavi I, viene usato KeepAliveInDays per impostare i cookie, altrimenti viene usato il valore specificato nel parametro SessionExpiryInSeconds. È consigliabile impostare il valore di SessionExpiryInSeconds su un breve periodo (1200 secondi), mentre il valore di KeepAliveInDays può essere impostato su un periodo relativamente lungo (30 giorni), come illustrato nell'esempio seguente:

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <UserJourneyBehaviors>
    <SingleSignOn Scope="Tenant" KeepAliveInDays="30" />
    <SessionExpiryType>Absolute</SessionExpiryType>
    <SessionExpiryInSeconds>1200</SessionExpiryInSeconds>
  </UserJourneyBehaviors>
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

1. Invalida la sessione basata su cookie di Azure AD B2C.
2. Tenta di disconnettersi dai provider di identità federati.

1. Invalida la sessione basata su cookie di Azure AD B2C.
2. Tenta di disconnettersi dai provider di identità federati:
   • OpenId Connessione: se l'endpoint di configurazione noto del provider di identità specifica un end_session_endpoint percorso. La richiesta di disconnessione non passa il id_token_hint parametro. Se il provider di identità federato richiede questo parametro, la richiesta di disconnessione non riesce.
   • OAuth2: se i metadati del provider di identità contengono il end_session_endpoint percorso.
   • SAML: se i metadati del provider di identità contengono il SingleLogoutService percorso.
3. Facoltativamente, disconnettersi da altre applicazioni. Per altre informazioni, vedere la sezione Single Sign-Out .

Single Sign-Out

Quando si reindirizza l'utente all'endpoint di disconnessione di Azure AD B2C (per OAuth2 e OpenID Connessione) o si invia (LogoutRequestper SAML), Azure AD B2C cancella la sessione dell'utente dal browser. Tuttavia, l'utente potrebbe comunque accedere ad altre applicazioni che usano Azure AD B2C per l'autenticazione. Per disconnettere l'utente da tutte le applicazioni, che hanno una sessione attiva, Azure AD B2C supporta l'accesso Single Sign-Out, noto anche come Single Log-Out (SLO).

Durante la disconnessione, Azure AD B2C invia simultaneamente una richiesta HTTP all'URL di disconnessione registrato di tutte le applicazioni a cui l'utente ha eseguito l'accesso.

Configurare i criteri personalizzati

Per supportare l'accesso Single Sign-Out, i profili tecnici dell'autorità emittente di token per JWT e SAML devono specificare:

• Nome del protocollo, ad esempio <Protocol Name="OpenIdConnect" />
• Riferimento al profilo tecnico della sessione, ad esempio UseTechnicalProfileForSessionManagement ReferenceId="SM-jwt-issuer" />.

L'esempio seguente illustra le autorità emittenti di token JWT e SAML con single sign-out:

<ClaimsProvider>
  <DisplayName>Local Account SignIn</DisplayName>
  <TechnicalProfiles>
    <!-- JWT Token Issuer -->
    <TechnicalProfile Id="JwtIssuer">
      <DisplayName>JWT token Issuer</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <OutputTokenFormat>JWT</OutputTokenFormat>
      ...    
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-jwt-issuer" />
    </TechnicalProfile>

    <!-- Session management technical profile for OIDC based tokens -->
    <TechnicalProfile Id="SM-jwt-issuer">
      <DisplayName>Session Management Provider</DisplayName>
      <Protocol Name="Proprietary" Handler="Web.TPEngine.SSO.OAuthSSOSessionProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    </TechnicalProfile>

    <!--SAML token issuer-->
    <TechnicalProfile Id="Saml2AssertionIssuer">
      <DisplayName>SAML token issuer</DisplayName>
      <Protocol Name="SAML2" />
      <OutputTokenFormat>SAML2</OutputTokenFormat>
      ...
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-Saml-issuer" />
    </TechnicalProfile>

    <!-- Session management technical profile for SAML based tokens -->
    <TechnicalProfile Id="SM-Saml-issuer">
      <DisplayName>Session Management Provider</DisplayName>
      <Protocol Name="Proprietary" Handler="Web.TPEngine.SSO.SamlSSOSessionProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Configurare l'applicazione

Per consentire a un'applicazione di partecipare all'accesso Single Sign-Out:

• Per i provider di servizi SAML, configurare l'applicazione con il percorso SingleLogoutService nel documento di metadati SAML. È anche possibile configurare la registrazione logoutUrldell'app. Per altre informazioni, vedere Impostare l'URL di disconnessione.
• Per le applicazioni OpenID Connessione o OAuth2, impostare l'attributo logoutUrl del manifesto della registrazione dell'app. Per configurare l'URL di disconnessione:
  1. Nel menu di Azure AD B2C selezionare Registrazioni app.
  2. Selezionare la registrazione dell'applicazione.
  3. In Gestisci selezionare Autenticazione.
  4. Nell'URL di disconnessione del canale anteriore configurare l'URL di disconnessione.

Gestione delle richieste di disconnessione Single Sign-Out

Quando Azure AD B2C riceve la richiesta di disconnessione, usa un iframe HTML front-channel per inviare una richiesta HTTP all'URL di disconnessione registrato di ogni applicazione partecipante a cui l'utente ha eseguito l'accesso. Si noti che l'applicazione che attiva la richiesta di disconnessione ottiene questo messaggio di disconnessione. Le applicazioni devono rispondere alla richiesta di disconnessione cancellando la sessione dell'applicazione che identifica l'utente.

• Per le applicazioni OpenID Connessione e OAuth2, Azure AD B2C invia una richiesta HTTP GET all'URL di disconnessione registrato.
• Per le applicazioni SAML, Azure AD B2C invia una richiesta di disconnessione SAML all'URL di disconnessione registrato.

Quando Azure AD B2C invia una notifica a tutte le applicazioni relative alla disconnessità, procede con una delle operazioni seguenti:

• Per le applicazioni OpenID Connessione o OAuth2, reindirizza l'utente all'oggetto richiestopost_logout_redirect_uri, incluso il parametro (facoltativo) state specificato nella richiesta iniziale. Ad esempio https://contoso.com/logout?state=foo.
• Per le applicazioni SAML, invia una risposta di disconnessione SAML tramite HTTP POST all'applicazione che inizialmente ha inviato la richiesta di disconnessione.

Per richiedere un token ID nelle richieste di disconnessione:

1. Accedi al portale di Azure.
2. Se si ha accesso a più tenant, selezionare l'icona Impostazioni nel menu in alto per passare al tenant di Azure AD B2C dal menu Directory e sottoscrizioni.
3. Scegliere Tutti i servizi nell'angolo in alto a sinistra nel portale di Azure e quindi cercare e selezionare Azure AD B2C.
4. Selezionare Flussi utente.
5. Aprire il flusso utente creato in precedenza.
6. Selezionare Proprietà.
7. Abilitare richiedi token ID nelle richieste di disconnessione.

Per richiedere un token ID nelle richieste di disconnessione, aggiungere un elemento UserJourneyBehaviors all'interno dell'elemento RelyingParty . Impostare quindi l'elemento EnforceIdTokenHintOnLogout dell'elemento SingleSignOn su true. Per altre informazioni, vedere la demo live. L'elemento UserJourneyBehaviors dovrebbe essere simile all'esempio seguente:

<UserJourneyBehaviors>
  <SingleSignOn Scope="Tenant" EnforceIdTokenHintOnLogout="true"/>
</UserJourneyBehaviors>