Azure Active Directory B2C でトークンを構成する

• ユーザー フローを作成して、ユーザーがアプリケーションにサインアップおよびサインインできるようにします。
• Web アプリケーションを登録します。

• 「Active Directory B2C でのカスタム ポリシーの概要」にある手順を完了します。
• Web アプリケーションを登録します。

ユーザー フロー トークンの有効期間を構成するには、次を実行します。

1. Azure portal にサインインします。
2. 複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
3. Azure portal の左上隅にある [すべてのサービス] を選択してから、 [Azure AD B2C] を検索して選択します。
4. [ユーザー フロー (ポリシー)] を選択します。
5. あらかじめ作成しておいたユーザー フローを開きます。
6. [プロパティ] を選択します。
7. [トークンの有効期間] で、お使いのアプリケーションのニーズに合わせてプロパティを調整します。
8. [保存] を選択します。

トークンの互換性の設定を変更するには、拡張機能、または影響を与えるポリシーの証明書利用者ファイルに、トークン発行者の技術プロファイル メタデータを設定します。 トークン発行者の技術プロファイルは次の例のようになります。

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

以下の値は前の例で設定されています。

• token_lifetime_secs - アクセス トークンの有効期間 (秒)。 既定値は 3,600 (1 時間) です。 最小値は 300 (5 分) です。 最大値は 86,400 (24 時間) です。
• id_token_lifetime_secs - ID トークンの有効期間 (秒)。 既定値は 3,600 (1 時間) です。 最小値は 300 (5 分) です。 最大値は 86,400 (24 時間) です。
• refresh_token_lifetime_secs - 更新トークンの有効期間 (秒) です。 既定値は 1,209,600 (14 日) です。 最小値は 86,400 (24 時間) です。 最大値は 7,776,000 (90 日) です。
• rolling_refresh_token_lifetime_secs - 更新トークンのスライディング ウィンドウの有効期間 (秒)。 既定値は 7,776,000 (90 日) です。 最小値は 86,400 (24 時間) です。 最大値は 31,536,000 (365 日) です。 スライディング ウィンドウの有効期間を適用しない場合は、allow_infinite_rolling_refresh_token の値を true に設定します。
• allow_infinite_rolling_refresh_token - 更新トークンのスライディング ウィンドウの有効期間は無期限です。

ユーザー フローの互換性設定を構成するには、次のようにします。

1. [ユーザー フロー (ポリシー)] を選択します。
2. あらかじめ作成しておいたユーザー フローを開きます。
3. [プロパティ] を選択します。
4. [トークンの互換性設定] で、お使いのアプリケーションのニーズに合わせてプロパティを調整します。
5. [保存] を選択します。

トークンの互換性の設定を変更するには、拡張機能または変更したいポリシーの証明書利用者ファイルにトークン発行者の技術プロファイル メタデータを設定します。 トークン発行者の技術プロファイルは次の例のようになります。

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• 発行者 (iss) 要求: 発行者 (iss) 要求は、IssuanceClaimPattern メタデータ項目で設定します。 指定できる値は、AuthorityAndTenantGuid および AuthorityWithTfp です。

• ポリシー ID を表す要求の設定: この値を設定するためのオプションは、TFP (Trust Framework Policy) および ACR (Authentication Context Reference) です。 TFP が推奨値です。 AuthenticationContextReferenceClaimPattern に値 None を設定します。

  ClaimsSchema 要素に、次の要素を追加します。

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  証明書利用者ポリシーの OutputClaims 要素の下に、次の出力要求を追加します。

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  ACR の場合は、AuthenticationContextReferenceClaimPattern 項目を削除します。

• サブジェクト (サブ) 要求: このオプションは、既定で ObjectID に設定されています。この設定を Not Supported に切り替える場合は、次の行を置き換えます。

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  置き換えた後の行は次のとおりです。

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. [ユーザー フロー (ポリシー)] を選択します。
2. あらかじめ作成しておいたユーザー フローを開きます。
3. [アプリケーション クレーム] を選択します。
4. アプリケーションに返信する要求と属性を選択します。
5. [保存] を選択します。

証明書利用者ポリシーの技術プロファイルの出力要求は、アプリケーションに返される値です。 出力要求を追加すると、ユーザー体験が成功した後、その要求がトークンに発行され、アプリケーションに送信されます。 証明書利用者セクション内の技術プロファイル要素を変更して、目的の要求を出力要求として追加します。

1. カスタム ポリシー ファイルを開きます。 たとえば、SignUpOrSignin.xml などです。
2. OutputClaims 要素を検索します。 トークンに含める OutputClaim を追加します。
3. 出力要求の属性を設定します。

次の例では、accountBalance 要求を追加します。 accountBalance 要求が、残高としてアプリケーションに送信されます。

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

OutputClaim 要素には、次の属性が含まれています。

• ClaimTypeReferenceId - ポリシー ファイルまたは親ポリシー ファイルの ClaimsSchema セクションで既に定義されている種類の要求の識別子。
• PartnerClaimType - トークン内の要求の名前を変更できます。
• DefaultValue - 既定値です。 また、テナント ID など、要求リゾルバーに対する既定値も設定できます。
• AlwaysUseDefaultValue - 既定値の使用を強制します。