Definir um perfil técnico do fornecedor de identidade SAML numa política personalizada do Azure Active Directory B2C

O Azure Active Directory B2C (Azure AD B2C) fornece suporte para o fornecedor de identidade SAML 2.0. Este artigo descreve as especificidades de um perfil técnico para interagir com um fornecedor de afirmações que suporta este protocolo padronizado. Com um perfil técnico SAML, pode federar com um fornecedor de identidade baseado em SAML, como o ADFS e o Salesforce. Esta federação permite que os seus utilizadores iniciem sessão com as respetivas identidades sociais ou empresariais existentes.

Troca de metadados

Os metadados são informações utilizadas no protocolo SAML para expor a configuração de uma parte SAML, como um fornecedor de serviços ou um fornecedor de identidade. Os metadados definem a localização dos serviços, como o início de sessão e o fim de sessão, certificados, método de início de sessão e muito mais. O fornecedor de identidade utiliza os metadados para saber como comunicar com Azure AD B2C. Os metadados estão configurados no formato XML e podem ser assinados com uma assinatura digital para que a outra parte possa validar a integridade dos metadados. Quando Azure AD federações B2C com um fornecedor de identidade SAML, atua como um fornecedor de serviços que inicia um pedido SAML e aguarda uma resposta SAML. E, em alguns casos, aceita a autenticação SAML não solicitada, que também é conhecida como fornecedor de identidade iniciada.

Os metadados podem ser configurados em ambas as partes como "Metadados Estáticos" ou "Metadados Dinâmicos". No modo estático, copia todos os metadados de uma entidade e define-os na outra parte. No modo dinâmico, define o URL para os metadados enquanto a outra parte lê a configuração dinamicamente. Os princípios são os mesmos, define os metadados do perfil técnico Azure AD B2C no seu fornecedor de identidade e define os metadados do fornecedor de identidade no Azure AD B2C.

Cada fornecedor de identidade SAML tem passos diferentes para expor e definir o fornecedor de serviços, neste caso Azure AD B2C e definir os metadados Azure AD B2C no fornecedor de identidade. Veja a documentação do seu fornecedor de identidade para obter orientações sobre como fazê-lo.

O exemplo seguinte mostra um endereço DE URL para os metadados SAML de um perfil técnico Azure AD B2C:

https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/your-policy/samlp/metadata?idptp=your-technical-profile

Substitua os seguintes valores:

• your-tenant-name com o seu nome de inquilino, como fabrikam.b2clogin.com.
• a sua política com o nome da sua política. Utilize a política onde configura o perfil técnico do fornecedor SAML ou uma política que herda dessa política.
• o seu perfil técnico com o nome do perfil técnico do seu fornecedor de identidade SAML.

Troca de certificados de assinatura digital

Para criar uma confiança entre Azure AD B2C e o seu fornecedor de identidade SAML, tem de fornecer um certificado X509 válido com a chave privada. Carregue o certificado com a chave privada (ficheiro .pfx) para o arquivo de chaves de política Azure AD B2C. Azure AD B2C assina digitalmente o pedido de início de sessão SAML com o certificado que fornecer.

O certificado é utilizado das seguintes formas:

• Azure AD B2C gera e assina um pedido SAML com a chave privada Azure AD B2C do certificado. O pedido SAML é enviado para o fornecedor de identidade, que valida o pedido com Azure AD chave pública B2C do certificado. O Azure AD certificado público B2C está acessível através de metadados de perfil técnico. Em alternativa, pode carregar manualmente o ficheiro .cer para o seu fornecedor de identidade SAML.
• O fornecedor de identidade assina os dados enviados para Azure AD B2C com a chave privada do fornecedor de identidade do certificado. Azure AD B2C valida os dados com o certificado público do fornecedor de identidade. Cada fornecedor de identidade tem passos diferentes para a configuração. Veja a documentação do seu fornecedor de identidade para obter orientações sobre como fazê-lo. No Azure AD B2C, a sua política precisa de acesso à chave pública do certificado através dos metadados do fornecedor de identidade.

Um certificado autoassinado é aceitável para a maioria dos cenários. Para ambientes de produção, é recomendado utilizar um certificado X509 emitido por uma autoridade de certificação. Além disso, conforme descrito mais adiante neste documento, para um ambiente de não produção, pode desativar a assinatura SAML em ambos os lados.

O diagrama seguinte mostra os metadados e a troca de certificados:

Encriptação digital

Para encriptar a asserção de resposta SAML, o fornecedor de identidade utiliza sempre uma chave pública de um certificado de encriptação num perfil técnico Azure AD B2C. Quando Azure AD B2C precisa de desencriptar os dados, utiliza a parte privada do certificado de encriptação.

Para encriptar a asserção da resposta SAML:

1. Carregue um certificado X509 válido com a chave privada (ficheiro .pfx) para o arquivo de chaves de política Azure AD B2C.
2. Adicione um elemento CryptographicKey com um identificador de SamlAssertionDecryption à coleção CryptographicKeys do perfil técnico. Defina StorageReferenceId como o nome da chave de política que criou no passo 1.
3. Defina os metadados do perfil técnico WantEncryptedAssertions como true.
4. Atualize o fornecedor de identidade com os novos metadados de perfil técnico Azure AD B2C. Deverá ver o KeyDescriptor com a propriedade use definida para encryption conter a chave pública do certificado.

O exemplo seguinte mostra a secção Descritor de Chaves dos metadados SAML utilizados para encriptação:

<KeyDescriptor use="encryption">
  <KeyInfo xmlns="https://www.w3.org/2000/09/xmldsig#">
    <X509Data>
      <X509Certificate>valid certificate</X509Certificate>
    </X509Data>
  </KeyInfo>
</KeyDescriptor>

Protocolo

O atributo Nome do elemento Protocolo tem de ser definido como SAML2.

Afirmações de entrada

O elemento InputClaims é utilizado para enviar um NameId no Assunto do Pedido de Autenticação SAML. Para tal, adicione uma afirmação de entrada com um PartnerClaimType definido subject como, conforme mostrado abaixo.

<InputClaims>
	<InputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="subject" />
</InputClaims>

Afirmações de saída

O elemento OutputClaims contém uma lista de afirmações devolvidas pelo fornecedor de identidade SAML na AttributeStatement secção . Poderá ter de mapear o nome da afirmação definida na política para o nome definido no fornecedor de identidade. Também pode incluir afirmações que não são devolvidas pelo fornecedor de identidade, desde que defina o DefaultValue atributo.

Afirmação de saída do nome do requerente

Para ler o NameId da asserção SAML no Assunto como uma afirmação normalizada, defina a afirmação PartnerClaimType como o SPNameQualifier valor do atributo . Se o SPNameQualifieratributo não for apresentado, defina a afirmação PartnerClaimType para o NameQualifier valor do atributo .

Asserção SAML:

<saml:Subject>
  <saml:NameID SPNameQualifier="http://your-idp.com/unique-identifier" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">david@contoso.com</saml:NameID>
  <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    <SubjectConfirmationData InResponseTo="_cd37c3f2-6875-4308-a9db-ce2cf187f4d1" NotOnOrAfter="2020-02-15T16:23:23.137Z" Recipient="https://your-tenant.b2clogin.com/your-tenant.onmicrosoft.com/B2C_1A_TrustFrameworkBase/samlp/sso/assertionconsumer" />
    </SubjectConfirmation>
  </saml:SubjectConfirmation>
</saml:Subject>

Afirmação de saída:

<OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="http://your-idp.com/unique-identifier" />

Se os SPNameQualifier atributos ou NameQualifier não forem apresentados na asserção SAML, defina a afirmação PartnerClaimType como assertionSubjectName. Confirme que NameId é o primeiro valor em XML de asserção. Quando define mais do que uma asserção, Azure AD B2C escolhe o valor do assunto da última asserção.

O exemplo seguinte mostra as afirmações devolvidas por um fornecedor de identidade SAML:

• A afirmação issuerUserId está mapeada para a afirmação assertionSubjectName .
• A afirmação first_name está mapeada para a afirmação givenName .
• A reivindicação last_name está mapeada para a reivindicação do sobrenome .
• A afirmação displayName está mapeada para a afirmação de nome .
• A afirmação de e-mail sem mapeamento de nomes.

O perfil técnico também devolve afirmações que não são devolvidas pelo fornecedor de identidade:

• A afirmação identityProvider que contém o nome do fornecedor de identidade.
• A afirmação authenticationSource com um valor predefinido de socialIdpAuthentication.

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="assertionSubjectName" />
  <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="first_name" />
  <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="last_name" />
  <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
  <OutputClaim ClaimTypeReferenceId="email"  />
  <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="contoso.com" />
  <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
</OutputClaims>

O elemento OutputClaimsTransformations pode conter uma coleção de elementos OutputClaimsTransformation que são utilizados para modificar as afirmações de saída ou gerar novas.

Metadados

Chaves criptográficas

O elemento CryptographicKeys contém os seguintes atributos:

Passos seguintes

Veja os seguintes artigos para obter exemplos de trabalho com fornecedores de identidade SAML no Azure AD B2C:

• Adicionar o ADFS como um fornecedor de identidade SAML com políticas personalizadas
• Iniciar sessão com contas do Salesforce através de SAML