Perfis técnicos

Um perfil técnico fornece uma estrutura com um mecanismo interno para se comunicar com diferentes tipos de partes. Os perfis técnicos são usados para se comunicar com o locatário do Azure AD B2C (Azure Active Directory B2C), para criar um usuário ou ler um perfil de usuário. Um perfil técnico pode ser autodeclarado para permitir a interação com o usuário. Por exemplo, um perfil técnico pode coletar a credencial do usuário para entrar e renderizar a página de inscrição ou a página de redefinição de senha.

Tipos de perfis técnicos

Um perfil técnico permite esses tipos de cenários:

• Application insights: envia dados de evento para o Application insights.
• Microsoft Entra ID: oferece suporte para o gerenciamento de usuário do Azure AD B2C.
• Autenticação multifator do Microsoft Entra: oferece suporte para verificar um número de telefone usando a autenticação multifator do Microsoft Entra.
• Transformação de declarações: chama transformações de declarações de saída para manipular valores de declarações, validar declarações ou definir valores padrão para um conjunto de declarações de saída.
• Dica de token de ID: valida a id_token_hint assinatura do token JWT, o nome do emissor e o público-alvo do token, e extrai a declaração do token de entrada.
• Emissor de token JWT: emite um token JWT que é retornado para o aplicativo de terceira parte confiável.
• OAuth1: federação com qualquer provedor de identidade de protocolo OAuth 1.0.
• OAuth2: federação com qualquer provedor de identidade de protocolo OAuth 2.0.
• Senha de uso único: fornece suporte para gerenciar a geração e a verificação de uma senha de uso único.
• OpenID Connect: federação com qualquer provedor de identidade de protocolo OpenID Connect.
• Fator de telefone: dá suporte ao registro e à verificação de números de telefone.
• Provedor RESTful: chama os serviços da API REST, como validação da entrada do usuário, enriquecimento de dados do usuário ou integração aos aplicativos de linha de negócios.
• Provedor de identidade SAML2: federação com qualquer provedor de identidade de protocolo SAML.
• Emissor de token SAML: emite um token SAML que é retornado para o aplicativo de terceira parte confiável.
• Autodeclarado: interage com o usuário. Por exemplo, colete a credencial do usuário para entrar e renderizar a página de inscrição ou redefinir a senha.
• Gerenciamento de sessão: lida com diferentes tipos de sessões.

Fluxo do perfil técnico

Todos os tipos de perfis técnicos compartilham o mesmo conceito. Eles começam lendo as declarações de entrada e executam transformações de declarações. Então, eles se comunicam com a parte configurada, como um provedor de identidade, uma API REST ou serviços de diretório do Microsoft Entra. Após a conclusão do processo, o perfil técnico retorna as declarações de saída e pode executar as transformações de declarações de saída. O diagrama a seguir mostra como as transformações e mapeamentos referenciados no perfil técnico são processados. Após a execução de qualquer declaração de transformação, as declarações de saída são imediatamente armazenadas no recipiente de declarações, independentemente da entidade com a qual o perfil técnico interage.

1. Gerenciamento da sessão de SSO (logon único) : restaura o estado de sessão do perfil técnico usando o gerenciamento da sessão de SSO.
2. Transformação de declarações de entrada: antes do perfil técnico ser iniciado, o Azure AD B2C executa a transformação de declaraçõesde entrada.
3. Declarações de entrada: as declarações que são usadas no perfil técnico são retiradas do recipiente de declarações.
4. Execução do perfil técnico: o perfil técnico troca as declarações pela entidade configurada. Por exemplo:
   • Redireciona o usuário para o provedor de identidade para concluir a conexão. Após conectar-se, o usuário retornará e prosseguirá com a execução do perfil técnico.
   • Chama uma API REST enquanto envia parâmetros como o InputClaims e recebe de volta informações como o OutputClaims.
   • Cria ou atualiza a conta do usuários.
   • Envia e verifica a mensagem de texto de autenticação multifator.
5. Perfis técnicos de validação: um perfil técnico autodeclarado pode chamar perfis técnicos de validação para validar os dados analisados pelo usuário. Somente perfis técnicos autodeclarados podem usar perfis técnicos de validação.
6. Declarações de saída: declarações são retornadas ao recipiente de declarações. Você pode usar essas declarações na próxima etapa de orquestrações ou transformações de declarações de saída.
7. Transformações de declarações de saída: após o perfil técnico ser concluído, o Azure AD B2C executa as transformações de declaraçõesde saída.
8. Gerenciamento de sessão de SSO: persiste os dados do perfil técnico para a sessão usando o gerenciamento da sessão de SSO.

Um elemento TechnicalProfiles contém um conjunto de perfis técnicos com suporte no provedor de declarações. Cada provedor de declarações deve ter pelo menos um perfil técnico. O perfil técnico determina os pontos de extremidade e os protocolos necessários para comunicar-se com o provedor de declarações. Um provedor de declarações pode ter vários perfis técnicos.

<ClaimsProvider>
  <DisplayName>Display name</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Technical profile identifier">
      <DisplayName>Display name of technical profile</DisplayName>
      <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
      <Metadata>
        ...
      </Metadata>
      ...
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

O elemento TechnicalProfile contém o seguinte atributo:

O elemento TechnicalProfile contém os seguintes elementos:

Protocolo

O elemento Protocolo especifica o protocolo a ser usado para a comunicação com o outro parceiro comercial. O elemento Protocol contém os seguintes atributos:

Metadados

O elemento Metadados contém as opções de configuração relevantes para um protocolo específico. A lista de metadados com suporte é documentada na especificação do perfil técnico correspondente. Um elemento Metadados contém os seguintes elementos:

Item

O elemento Item do elemento Metadados contém o seguinte atributo:

O exemplo a seguir ilustra o uso de metadados relevantes para o perfil técnico do OAuth2.

<TechnicalProfile Id="Facebook-OAUTH">
  ...
  <Metadata>
    <Item Key="ProviderName">facebook</Item>
    <Item Key="authorization_endpoint">https://www.facebook.com/dialog/oauth</Item>
    <Item Key="AccessTokenEndpoint">https://graph.facebook.com/oauth/access_token</Item>
    <Item Key="HttpBinding">GET</Item>
    <Item Key="UsePolicyInRedirectUri">0</Item>
    ...
  </Metadata>
  ...
</TechnicalProfile>

O exemplo a seguir ilustra o uso de metadados relevantes para o perfil técnico da API REST.

<TechnicalProfile Id="REST-Validate-Email">
  ...
  <Metadata>
    <Item Key="ServiceUrl">https://api.sendgrid.com/v3/mail/send</Item>
    <Item Key="AuthenticationType">Bearer</Item>
    <Item Key="SendClaimsIn">Body</Item>
    ...
  </Metadata>
  ...
</TechnicalProfile>

Chaves criptográficas

Para estabelecer um relação de confiança com os serviços com os quais ele se integra, o Azure AD B2C armazena segredos e certificados na forma de chaves de política. Durante a execução do perfil técnico, o Azure AD B2C recupera as chaves de criptografia das chaves de política do Azure AD B2C. Então, o Azure AD B2C usa as chaves para estabelecer a confiança ou criptografar ou assinar um token. Essas relações de confiança consistem em:

• Federação com provedores de identidade OAuth1, OAuth2e SAML.
• Proteção da conexão com os serviços de API REST.
• Assinatura e criptografia dos tokens JWT e SAML.

O elemento CryptographicKeys contém o seguinte elemento:

Chave

O elemento Key contém o seguinte atributo:

Transformações de declarações de entrada

O elemento InputClaimsTransformations elemento pode conter uma coleção de elementos de transformações de declarações de entrada elementos usados para modificar as declarações de entrada ou gerar novas.

As declarações de saída de uma transformação de declarações anterior na coleção de transformações de declarações, podem ser declarações de entrada de uma transformação de declarações de entrada subsequentes. Dessa forma, você pode ter uma sequência de transformações de declarações dependentes entre si.

O elemento InputClaimsTransformations contém o seguinte elemento:

InputClaimsTransformation

O elemento InputClaimsTransformation contém o seguinte atributo:

Os perfis técnicos a seguir fazem referência à transformação de declarações CreateOtherMailsFromEmail. A transformação declarações adiciona o valor da email declaração à otherMails coleção antes de persistir os dados para o diretório.

<TechnicalProfile Id="AAD-UserWriteUsingAlternativeSecurityId">
  ...
  <InputClaimsTransformations>
    <InputClaimsTransformation ReferenceId="CreateOtherMailsFromEmail" />
  </InputClaimsTransformations>
  <PersistedClaims>
    <PersistedClaim ClaimTypeReferenceId="alternativeSecurityId" />
    <PersistedClaim ClaimTypeReferenceId="userPrincipalName" />
    <PersistedClaim ClaimTypeReferenceId="mailNickName" DefaultValue="unknown" />
    <PersistedClaim ClaimTypeReferenceId="displayName" DefaultValue="unknown" />
    <PersistedClaim ClaimTypeReferenceId="otherMails" />
    <PersistedClaim ClaimTypeReferenceId="givenName" />
    <PersistedClaim ClaimTypeReferenceId="surname" />
  </PersistedClaims>
  ...
</TechnicalProfile>

Declarações de entrada

O elemento InputClaims retira as declarações que são usadas no perfil técnico do recipiente de declarações. Por exemplo, um perfil técnico autodeclarado usa as declarações de entrada para preencher antecipadamente as declarações de saída fornecidas pelo usuário. Um perfil técnico da API REST usa as declarações de entrada para enviar parâmetros de entrada ao ponto de extremidade da API REST. O Azure AD B2C usa uma declaração de entrada como um identificador exclusivo para ler, atualizar ou excluir uma conta.

O elemento InputClaims contém o seguinte elemento:

InputClaim

O elemento InputClaim contém os seguintes atributos:

Exibir declarações

O elemento DisplayClaims contém uma lista de declarações a serem apresentadas na tela para coletar dados do usuário. Na coleção de declarações de exibição, você pode incluir uma referência a um tipo de declaração ou a um controle de exibição que você criou.

• Um tipo de declaração é uma referência a uma declaração a ser exibida na tela.
  • Para forçar o usuário a fornecer um valor para uma declaração específica, defina o atributo Required do elemento DisplayClaim como true.
  • Para preencher previamente os valores das declarações de exibição, use as declarações de entrada descritas anteriormente. O elemento também pode conter um valor padrão.
  • O elemento ClaimType da coleção DisplayClaims precisa ser definir o elemento UserInputType como qualquer tipo de entrada do usuário compatível com o Azure AD B2C. Alguns exemplos incluem TextBox ou DropdownSingleSelect.
• Um controle de exibição é um elemento de interface do usuário que tem funcionalidade especial e interage com o serviço de back-end do Azure AD B2C. Ele permite que o usuário execute ações na página que invocam um perfil técnico de validação no back-end. Um exemplo é a verificação de um endereço de email, número de telefone ou número de fidelidade do cliente.

A ordem dos elementos em DisplayClaims especifica a ordem na qual o Azure ad B2C renderiza as declarações na tela.

O elemento DisplayClaims contém o seguinte elemento:

DisplayClaim

O elemento DisplayClaim contém os seguintes atributos:

O exemplo a seguir ilustra o uso de declarações de exibição e controles de exibição em um perfil técnico autodeclarado.

No seguinte perfil técnico:

• A primeira declaração de exibição faz referência ao emailVerificationControl controle de exibição, que coleta e verifica o endereço de email.
• A quinta declaração de exibição faz referência ao phoneVerificationControl controle de exibição, que coleta e verifica um número de telefone.
• As outras declarações de exibição são elementos ClaimType a serem coletados do usuário.

<TechnicalProfile Id="Id">
  <DisplayClaims>
    <DisplayClaim DisplayControlReferenceId="emailVerificationControl" />
    <DisplayClaim ClaimTypeReferenceId="displayName" Required="true" />
    <DisplayClaim ClaimTypeReferenceId="givenName" Required="true" />
    <DisplayClaim ClaimTypeReferenceId="surName" Required="true" />
    <DisplayClaim DisplayControlReferenceId="phoneVerificationControl" />
    <DisplayClaim ClaimTypeReferenceId="newPassword" Required="true" />
    <DisplayClaim ClaimTypeReferenceId="reenterPassword" Required="true" />
  </DisplayClaims>
</TechnicalProfile>

Declarações persistentes

O elemento PersistedClaims contém todos os valores que um perfil técnico do Microsoft Entra ID deve manter, com possíveis informações de mapeamento entre um tipo de declaração já definido na seção ClaimsSchema na política e o nome do atributo do Microsoft Entra.

O nome da declaração será o nome do atributo do Microsoft Entra, a menos que seja especificado o atributo PartnerClaimType, que contém o nome de atributo do Microsoft Entra.

O elemento PersistedClaims contém o seguinte elemento:

PersistedClaim

O elemento PersistedClaim contém os seguintes atributos:

No exemplo a seguir, o perfil técnico do AAD-UserWriteUsingLogonEmail ou o pacote inicial que cria a nova conta local, mantém as declarações a seguir:

<PersistedClaims>
  <PersistedClaim ClaimTypeReferenceId="email" PartnerClaimType="signInNames.emailAddress" />
  <PersistedClaim ClaimTypeReferenceId="newPassword" PartnerClaimType="password"/>
  <PersistedClaim ClaimTypeReferenceId="displayName" DefaultValue="unknown" />
  <PersistedClaim ClaimTypeReferenceId="passwordPolicies" DefaultValue="DisablePasswordExpiration" />
  <PersistedClaim ClaimTypeReferenceId="givenName" />
  <PersistedClaim ClaimTypeReferenceId="surname" />
</PersistedClaims>

Declarações de saída

O elemento OutputClaims é uma coleção de declarações que são retornadas para o recipiente de declarações após a conclusão do perfil técnico. Você pode usar essas declarações na próxima etapa de orquestrações ou transformações de declarações de saída. O elemento OutputClaims contém o seguinte elemento:

OutputClaim

O elemento OutputClaim contém os seguintes atributos:

Transformações de declarações de saída

O elemento OutputClaimsTransformations pode conter uma coleção de elementos OutputClaimsTransformation. As transformações de declarações de saída são usadas para modificar as declarações de saída ou gerar novas. Após a execução, as declarações de saída são recolocadas no recipiente de declarações. Você pode usar essas declarações na próxima etapa de orquestrações.

As declarações de saída de uma transformação de declarações anterior na coleção de transformações de declarações, podem ser declarações de entrada de uma transformação de declarações de entrada subsequentes. Dessa forma, você pode ter uma sequência de transformações de declarações dependentes entre si.

O elemento OutputClaimsTransformations contém o seguinte elemento:

OutputClaimsTransformation

O elemento OutputClaimsTransformation contém o seguinte atributo:

O seguinte perfil técnico faz referência à transformação de declarações AssertAccountEnabledIsTrue para avaliar se a conta está habilitada ou não após ler a declaração accountEnabled do diretório.

<TechnicalProfile Id="AAD-UserReadUsingEmailAddress">
  ...
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="objectId" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
    <OutputClaim ClaimTypeReferenceId="displayName" />
    <OutputClaim ClaimTypeReferenceId="accountEnabled" />
    <OutputClaim ClaimTypeReferenceId="otherMails" />
    <OutputClaim ClaimTypeReferenceId="signInNames.emailAddress" />
  </OutputClaims>
  <OutputClaimsTransformations>
    <OutputClaimsTransformation ReferenceId="AssertAccountEnabledIsTrue" />
  </OutputClaimsTransformations>
  ...
</TechnicalProfile>

Perfis técnicos de validação

Um perfil técnico de validação é usado para validar as declarações de saída em um perfil técnico autodeclarado. Um perfil técnico de validação é um perfil técnico comum de qualquer protocolo, como ID do Microsoft Entra ou uma API REST. O perfil técnico de validação retorna declarações de saída ou o código de erro. A mensagem de erro é renderizada para o usuário na tela, o que permite que o usuário tente novamente.

O diagrama a seguir ilustra como o Azure AD B2C usa um perfil técnico de validação para validar as credenciais do usuário.

O elemento ValidationTechnicalProfiles contém o seguinte elemento:

ValidationTechnicalProfile

O elemento ValidationTechnicalProfile contém o seguinte atributo:

SubjectNamingInfo

O elemento SubjectNamingInfo define o nome da entidade usada em tokens em uma política da terceira parte confiável. O elemento SubjectNamingInfo contém o seguinte atributo:

Incluir perfil técnico

A alteração de configurações ou a adição de novas funcionalidades de um perfil técnico podem incluir outro perfil técnico. O elemento IncludeTechnicalProfile é uma referência ao perfil técnico comum do qual um perfil técnico é derivado. Para reduzir a redundância e a complexidade de seus elementos de política, use a inclusão quando tiver vários perfis técnicos que compartilham os elementos principais. Use um perfil técnico comum com o conjunto comum de configuração, juntamente com perfis técnicos de tarefas específicas que incluem o perfil técnico comum.

Suponha que você tenha um perfil técnico de API REST com um único ponto de extremidade onde você precisa enviar diferentes conjuntos de declarações para cenários diferentes. Crie um perfil técnico comum com a funcionalidade compartilhada, como o URI do ponto de extremidade da API REST, metadados, tipo de autenticação e chaves de criptografia. Crie perfis técnicos de tarefas específicas que incluam o perfil técnico comum. Em seguida, adicione as declarações de entrada e saída ou substitua o URI do ponto de extremidade da API REST relevante para esse perfil técnico.

O elemento IncludeTechnicalProfile contém o seguinte atributo:

O exemplo a seguir ilustra o uso da inclusão:

• REST-API-Common: um perfil técnico comum com a configuração básica.
• REST-ValidateProfile: inclui o perfil técnico REST-API-Common e especifica as declarações de entrada e saída.
• REST-UpdateProfile: inclui o perfil técnico REST-API-Common, especifica as declarações de entrada e substitui os ServiceUrl metadados.

<ClaimsProvider>
  <DisplayName>REST APIs</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="REST-API-Common">
      <DisplayName>Base REST API configuration</DisplayName>
      <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
      <Metadata>
        <Item Key="ServiceUrl">https://your-app-name.azurewebsites.NET/api/identity</Item>
        <Item Key="AuthenticationType">Basic</Item>
        <Item Key="SendClaimsIn">Body</Item>
      </Metadata>
      <CryptographicKeys>
        <Key Id="BasicAuthenticationUsername" StorageReferenceId="B2C_1A_B2cRestClientId" />
        <Key Id="BasicAuthenticationPassword" StorageReferenceId="B2C_1A_B2cRestClientSecret" />
      </CryptographicKeys>
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
    </TechnicalProfile>

    <TechnicalProfile Id="REST-ValidateProfile">
      <DisplayName>Validate the account and return promo code</DisplayName>
      <InputClaims>
        <InputClaim ClaimTypeReferenceId="objectId" />
        <InputClaim ClaimTypeReferenceId="email" />
        <InputClaim ClaimTypeReferenceId="userLanguage" PartnerClaimType="lang" DefaultValue="{Culture:LCID}" AlwaysUseDefaultValue="true" />
      </InputClaims>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="promoCode" />
      </OutputClaims>
      <IncludeTechnicalProfile ReferenceId="REST-API-Common" />
    </TechnicalProfile>

    <TechnicalProfile Id="REST-UpdateProfile">
      <DisplayName>Update the user profile</DisplayName>  
      <Metadata>
        <Item Key="ServiceUrl">https://your-app-name.azurewebsites.NET/api/identity/update</Item>
      </Metadata>
      <InputClaims>
        <InputClaim ClaimTypeReferenceId="objectId" />
        <InputClaim ClaimTypeReferenceId="email" />
      </InputClaims>
      <IncludeTechnicalProfile ReferenceId="REST-API-Common" />
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

Inclusão em vários níveis

Um perfil técnico pode incluir um único perfil técnico. Não há limite para o número de níveis de inclusão. Por exemplo, o perfil técnico AAD-UserReadUsingAlternativeSecurityId-NoError inclui o AAD-UserReadUsingAlternativeSecurityId. Esse perfil técnico define o item de metadados RaiseErrorIfClaimsPrincipalDoesNotExist como true e gera um erro se uma conta social não existir no diretório. AAD-UserReadUsingAlternativeSecurityId-NoError substitui esse comportamento e desativa esta mensagem de erro.

<TechnicalProfile Id="AAD-UserReadUsingAlternativeSecurityId-NoError">
  <Metadata>
    <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">false</Item>
  </Metadata>
  <IncludeTechnicalProfile ReferenceId="AAD-UserReadUsingAlternativeSecurityId" />
</TechnicalProfile>

AAD-UserReadUsingAlternativeSecurityId inclui o perfil técnico AAD-Common.

<TechnicalProfile Id="AAD-UserReadUsingAlternativeSecurityId">
  <Metadata>
    <Item Key="Operation">Read</Item>
    <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">true</Item>
    <Item Key="UserMessageIfClaimsPrincipalDoesNotExist">User does not exist. Please sign up before you can sign in.</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="AlternativeSecurityId" PartnerClaimType="alternativeSecurityId" Required="true" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="objectId" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
    <OutputClaim ClaimTypeReferenceId="displayName" />
    <OutputClaim ClaimTypeReferenceId="otherMails" />
    <OutputClaim ClaimTypeReferenceId="givenName" />
    <OutputClaim ClaimTypeReferenceId="surname" />
  </OutputClaims>
  <IncludeTechnicalProfile ReferenceId="AAD-Common" />
</TechnicalProfile>

AAD-UserReadUsingAlternativeSecurityId-NoError e AAD UserReadUsingAlternativeSecurityId não especificam o elemento Protocol necessário porque ele é especificado no perfil técnico AAD-Common.

<TechnicalProfile Id="AAD-Common">
  <DisplayName>Azure Active Directory</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureActiveDirectoryProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  ...
</TechnicalProfile>

Usar perfil técnico para gerenciamento da sessão

O elemento UseTechnicalProfileForSessionManagement faz referência ao perfil técnico da sessão de SSO. O elemento UseTechnicalProfileForSessionManagement contém o seguinte atributo:

Habilitado para percursos do usuário

O ClaimsProviderSelections em um percurso do usuário define a lista de opções de seleção de provedor de declarações e sua ordem. Com o elemento EnabledForUserJourneys, você filtra qual provedor de declarações está disponível para o usuário. O elemento EnabledForUserJourneys contém um dos seguintes valores:

• Always: executa o perfil técnico.
• Never: ignora o perfil técnico.
• OnClaimsExistence: executa apenas quando existir uma determinada declaração, especificada no perfil técnico.
• OnItemExistenceInStringCollectionClaim: executa apenas quando existir um item em uma declaração de coleção de cadeia de caracteres.
• OnItemAbsenceInStringCollectionClaim: executa somente quando um item não existir em uma declaração de coleção de cadeia de caracteres.

Usar o OnClaimsExistence, OnItemExistenceInStringCollectionClaim ou OnItemAbsenceInStringCollectionClaim requer o fornecimento dos metadados a seguir:

• ClaimTypeOnWhichToEnable: especifica o tipo da declaração a ser avaliada.
• ClaimValueOnWhichToEnable: especifica o valor que deve ser comparado.

O seguinte perfil técnico é executado somente quando a coleção de cadeia de caracteres identityProviders contém o valor de facebook.com:

<TechnicalProfile Id="UnLink-Facebook-OAUTH">
  <DisplayName>Unlink Facebook</DisplayName>
...
    <Metadata>
      <Item Key="ClaimTypeOnWhichToEnable">identityProviders</Item>
      <Item Key="ClaimValueOnWhichToEnable">facebook.com</Item>
    </Metadata>
...
  <EnabledForUserJourneys>OnItemExistenceInStringCollectionClaim</EnabledForUserJourneys>
</TechnicalProfile>