Configurar um provedor de declaração personalizado para um evento de emissão de token

Registrar uma extensão de autenticação personalizada

1. Entre no portal do Microsoft Azure como, no mínimo, Administrador de Aplicativos e Administrador de Autenticação.
2. Pesquise e selecione o Microsoft Entra ID e selecione Aplicativos empresariais.
3. Selecione Extensões de autenticação personalizadas e, em seguida, Criar uma extensão personalizada.
4. Em Básico, selecione o tipo de evento TokenIssuanceStart e selecione Avançar.
5. Em Configuração do ponto de extremidade, preencha as seguintes propriedades:
   • Nome – um nome para sua extensão de autenticação personalizada. Por exemplo, Evento de emissão de token.
   • URL de destino – o {Function_Url} da URL da função do Azure. Navegue até a página de visão geral do aplicativo de funções do Azure e selecione a função que você criou. Na página Visão geral da função, selecione Obter a URL da Função e use o ícone de cópia para copiar a URL customauthenticationextension_extension (Chave do sistema).
   • Descrição – uma descrição para suas extensões de autenticação personalizadas.
6. Selecione Avançar.
7. Em Autenticação de API, selecione a opção Criar registro de aplicativo para criar um registro de aplicativo que represente seu aplicativo de funções.
8. Dê um nome ao aplicativo, por exemplo, API de eventos de autenticação do Azure Functions.
9. Selecione Avançar.
10. Em Declarações, insira os atributos que você espera que sua extensão de autenticação personalizada analise da API REST e que serão mesclados no token. Adicione os códigos a seguir:
    • dateOfBirth
    • customRoles
    • apiVersion
    • correlationId
11. Selecione Avançar e, em seguida, Criar, que registra a extensão de autenticação personalizada e o registro do aplicativo associado.
12. Observe a ID do aplicativo em Autenticação da API, que é necessária para configurar a autenticação nas suas Funções do Azure no seu aplicativo de Funções do Azure.

Registrar um aplicativo

1. Entre no Explorador do Graph usando uma conta cujo locatário inicial é o locatário no qual você deseja gerenciar sua extensão de autenticação personalizada. Esta conta deve ter privilégios para criar e gerenciar um registro de aplicativo no locatário.

2. Execute a solicitação a seguir.

   POST https://graph.microsoft.com/v1.0/applications
   Content-type: application/json
   
   {
       "displayName": "authenticationeventsAPI"
   }
   

3. A partir da resposta, registre o valor da id e da appId do registro de aplicativo recém-criado. Esses valores são referenciados neste artigo como {authenticationeventsAPI_ObjectId} e {authenticationeventsAPI_AppId}, respectivamente.

Crie uma entidade de serviço no locatário para o registro do aplicativo authenticationeventsAPI.

No Explorador do Graph, execute a seguinte solicitação. Substitua {authenticationeventsAPI_AppId} pelo valor de appId que você registrou na etapa anterior.

POST https://graph.microsoft.com/v1.0/servicePrincipals
Content-type: application/json
    
{
    "appId": "{authenticationeventsAPI_AppId}"
}

Defina o URI da ID do aplicativo, a versão do token de acesso e o acesso necessário ao recurso

Atualize o aplicativo recém-criado para definir o valor do URI da ID do aplicativo, a versão do token de acesso e o acesso ao recurso necessário.

No Graph Explorer, execute a solicitação a seguir.

• Defina o valor do URI da ID do aplicativo na propriedade identifierUris. Substitua {Function_Url_Hostname} pelo nome do host do {Function_Url} que você gravou anteriormente.
• Defina o valor de {authenticationeventsAPI_AppId} com a appId que você registrou anteriormente.
• Um valor de exemplo é api://authenticationeventsAPI.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444. Anote esse valor, porque você irá usá-lo posteriormente neste artigo, no lugar de {functionApp_IdentifierUri}.

POST https://graph.microsoft.com/v1.0/applications/{authenticationeventsAPI_ObjectId}
Content-type: application/json

{
"identifierUris": [
    "api://{Function_Url_Hostname}/{authenticationeventsAPI_AppId}"
],    
"api": {
    "requestedAccessTokenVersion": 2,
    "acceptMappedClaims": null,
    "knownClientApplications": [],
    "oauth2PermissionScopes": [],
    "preAuthorizedApplications": []
},
"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                "type": "Role"
            }
        ]
    }
]
}

Registrar uma extensão de autenticação personalizada

Para registrar a extensão de autenticação personalizada, associe-a ao registro do aplicativo para a função do Azure e ao ponto de extremidade da função do Azure {Function_Url}.

1. No Graph Explorer, execute a solicitação a seguir. Substitua {Function_Url} pelo nome do host do aplicativo de funções do Azure. Substitua {functionApp_IdentifierUri} pelo identifierUri usado na etapa anterior.

   • Você precisa da permissão delegada CustomAuthenticationExtension.ReadWrite.All .

   POST https://graph.microsoft.com/beta/identity/customAuthenticationExtensions
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtension",
       "displayName": "onTokenIssuanceStartCustomExtension",
       "description": "Fetch additional claims from custom user store",
       "endpointConfiguration": {
           "@odata.type": "#microsoft.graph.httpRequestEndpoint",
           "targetUrl": "{Function_Url}"
       },
       "authenticationConfiguration": {
           "@odata.type": "#microsoft.graph.azureAdTokenAuthentication",
           "resourceId": "{functionApp_IdentifierUri}"
       },
       "claimsForTokenConfiguration": [
           {
               "claimIdInApiResponse": "DateOfBirth"
           },
           {
               "claimIdInApiResponse": "CustomRoles"
           }
       ]
   }
   

2. Registre o valor id do objeto de provedor de declarações personalizadas criado. Você usará o valor posteriormente neste tutorial no lugar de {customExtensionObjectId}.

Continue na próxima etapa, Atribuir um provedor de declarações personalizado ao seu aplicativo.

3.4 Associe seu aplicativo a um fluxo de usuário

Para locatários externos, você precisa associar seu aplicativo a um fluxo de usuário. Um fluxo de usuário define os métodos de autenticação que um cliente pode usar para entrar em seu aplicativo e as informações que ele precisa fornecer durante a inscrição. Certifique-se de concluir as etapas em Adicionar um aplicativo a um fluxo de usuário antes de continuar a adicionar Meu aplicativo de Teste ao fluxo de usuário.

Para atribuir a extensão de autenticação personalizada como uma fonte de provedores de declarações personalizadas;

1. Na página inicial no portal do Azure, selecione Microsoft Entra ID.

2. Selecione aplicativos empresariais e, em seguida, em Gerenciar, selecione Todos os aplicativos. Localize e selecione Meu aplicativo de teste na lista.

3. Na página Visão geral do Meu aplicativo de Teste, navegue até Gerenciar e selecione Logon único.

4. Em Atributos e Declarações, selecione Editar.

   

5. Expanda o menu Configurações avançadas.

6. Ao lado de Provedor de declarações personalizado, selecione Configurar.

7. Expanda a caixa suspensa Provedor de declarações personalizadas e selecione o evento de emissão de token criado anteriormente.

8. Selecione Salvar.

Em seguida, aloque os atributos do provedor de declarações personalizadas, que devem ser emitidos no token como declarações:

1. Selecione Adicionar nova declaração para adicionar uma nova declaração. Forneça um nome para a declaração que você deseja que seja emitida, por exemplo, dateOfBirth.

2. Em Origem, selecione Atributo e escolha customClaimsProvider.dateOfBirth na caixa suspensa Atributo de Origem.

   

3. Selecione Salvar.

4. Repita esse processo para adicionar os atributos customClaimsProvider.customRoles, customClaimsProvider.apiVersion e customClaimsProvider.correlationId e o nome correspondente. É uma boa ideia fazer a correspondência entre o nome da declaração e o nome do atributo.

Primeiro, crie um ouvinte de evento para acionar uma extensão de autenticação personalizada para o Meu Aplicativo de Teste usando o evento de início de emissão de token.

1. Entre no Graph Explorer usando uma conta cujo locatário principal é o locatário no qual você quer gerenciar sua extensão de autenticação personalizada.

2. Execute a solicitação a seguir. Substitua {App_to_enrich_ID} pela ID do aplicativo Meu aplicativo de teste registrada anteriormente. Substitua {customExtensionObjectId} pela ID de extensão de autenticação personalizada registrada anteriormente.

   • Você precisa da permissão delegada EventListener.ReadWrite.All .

   POST https://graph.microsoft.com/beta/identity/authenticationEventListeners
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartListener",
       "conditions": {
           "applications": {
               "includeAllApplications": false,
               "includeApplications": [
                   {
                       "appId": "{App_to_enrich_ID}"
                   }
               ]
           }
       },
       "priority": 500,
       "handler": {
           "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
           "customExtension": {
               "id": "{customExtensionObjectId}"
           }
       }
   }
   

Em seguida, crie a política de mapeamento de declarações, que descreve quais declarações podem ser emitidas para um aplicativo por um provedor de declarações personalizadas.

1. Ainda no Graph Explorer, execute a solicitação a seguir. Você vai precisar da permissão delegada Policy.ReadWrite.ApplicationConfiguration.

   POST https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies
   Content-type: application/json
   
   {
       "definition": [
           "{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\":[{\"Source\":\"CustomClaimsProvider\",\"ID\":\"DateOfBirth\",\"JwtClaimType\":\"dob\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CustomRoles\",\"JwtClaimType\":\"my_roles\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CorrelationId\",\"JwtClaimType\":\"correlationId\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"ApiVersion\",\"JwtClaimType\":\"apiVersion \"},{\"Value\":\"tokenaug_V2\",\"JwtClaimType\":\"policy_version\"}]}}"
       ],
       "displayName": "MyClaimsMappingPolicy",
       "isOrganizationDefault": false
   }
   

2. Registre o ID gerado na resposta e, posteriormente, ele será referenciado como {claims_mapping_policy_ID}.

Obtenha a ID de objeto da entidade de serviço:

1. Execute solicitação a seguir no Graph Explorer. Substitua {App_to_enrich_ID} pela appId do Meu Aplicativo de Teste.

   GET https://graph.microsoft.com/v1.0/servicePrincipals(appId='{App_to_enrich_ID}')
   

Registre o valor da id.

Atribua a política de mapeamento de declarações à entidade de serviço do Meu Aplicativo de Teste.

1. Execute solicitação a seguir no Graph Explorer. Você vai precisar das permissões delegadas Policy.ReadWrite.ApplicationConfiguration e Application.ReadWrite.All.

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{test_App_Service_Principal_ObjectId}/claimsMappingPolicies/$ref
   Content-type: application/json
   
   {
       "@odata.id": "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/{claims_mapping_policy_ID}"
   }
   

1. No portal do Azure, localize e selecione o aplicativo de funções publicado anteriormente.

2. Em Configurações, selecione Autenticação.

3. Selecione Adicionar provedor de identidade.

4. Selecione Microsoft como provedor de identidade.

5. Selecione Força de trabalho como o tipo de locatário.

6. Em Registro de aplicativo, selecione Escolher um registro de aplicativo existente neste diretório para o Tipo de registro de aplicativo e escolha o registro de aplicativo API de eventos de autenticação do Azure Functions que você criou anteriormente ao registrar o provedor de declarações personalizado.

7. Insira a seguinte URL do emissor, https://login.microsoftonline.com/{tenantId}/v2.0, em que {tenantId} é a ID do locatário da sua força de trabalho.

8. Em Requisito de aplicativo cliente, selecione Permitir solicitações de aplicativos cliente específicos e insira 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Em Requisito de locatário, selecione Permitir solicitações de locatários específicos e insira a ID do locatário da força de trabalho.

10. Em Solicitações não autenticadas, selecione HTTP 401 Não autorizado como provedor de identidade.

11. Desmarque a opção Repositório de tokens.

12. Selecione Adicionar para adicionar autenticação à função do Azure.

    

1. No portal do Azure, localize e selecione o aplicativo de funções publicado anteriormente.

2. Em Configurações, selecione Autenticação.

3. Selecione Adicionar provedor de identidade.

4. Selecione Microsoft como provedor de identidade.

5. Selecione Configuração externa como o tipo de locatário.

6. Em Registro do aplicativo, selecione Informar os detalhes de um registro de aplicativo existente para o Tipo de registro do aplicativo e insira o client_id do registro do aplicativo da API de eventos de autenticação do Azure Functions que você criou anteriormente ao registrar o provedor personalizado de declarações.

7. Para o URL do emissor, insira o seguinte URL https://{domainName}.ciamlogin.com/{tenant_id}/v2.0, onde

   • {domainName} é o nome de domínio do locatário externo, no formato {domainName}.contoso.com.
   • {tenantId} é a ID de locatário do locatário externo.

8. Em Requisito de aplicativo cliente, selecione Permitir solicitações de aplicativos cliente específicos e insira 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Em Requisito de locatário, selecione Permitir solicitações de locatários específicos e insira sua ID de locatário externo.

10. Em Solicitações não autenticadas, selecione HTTP 401 Não autorizado como provedor de identidade.

11. Desmarque a opção Repositório de tokens.

12. Selecione Adicionar para adicionar autenticação à função do Azure.

    

1. Abra um novo navegador privado e entre pela URL a seguir.

   https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Substitua {tenantId} pela ID do locatário, pelo nome do locatário ou por um dos nomes de domínio verificados. Por exemplo, contoso.onmicrosoft.com.

3. Substitua {App_to_enrich_ID} pela ID do cliente Meu aplicativo de teste.

4. Depois de fazer logon, você receberá o token decodificado em https://jwt.ms. Valide se as declarações da função do Azure são apresentadas no token decodificado, por exemplo, dateOfBirth.

1. Abra um novo navegador privado e entre pela URL a seguir.

   https://{domainName}.ciamlogin.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Substitua {domainName} pelo nome de seu domínio, por exemplo, contoso.

3. Substitua {tenantId} pela ID do locatário, pelo nome do locatário ou por um dos nomes de domínio verificados. Por exemplo, contoso.onmicrosoft.com.

4. Substitua {App_to_enrich_ID} pela ID do cliente Meu aplicativo de teste.

5. Percorra o fluxo de usuário de entrada que você configurou e aceite as permissões solicitadas.

6. Depois de fazer logon, você receberá o token decodificado em https://jwt.ms. Valide se as declarações da função do Azure são apresentadas no token decodificado, por exemplo, dateOfBirth.