Настройка потока сброса пароля в Azure Active Directory B2C

• Создайте поток пользователя, чтобы пользователи могли зарегистрироваться и входить в ваше приложение.
• Зарегистрируйте веб-приложение.

• Выполните шаги, описанные в статье Начало работы с настраиваемыми политиками в Azure Active Directory B2C.
• Зарегистрируйте веб-приложение.

Процедуру самостоятельного сброса пароля можно настроить для потоков пользователей "Вход" (рекомендуется) или "Регистрация и вход" (рекомендуется). Если вы не настроили один из этих потоков пользователей, создайте пользовательский поток регистрации или входа.

Чтобы настроить самостоятельный сброс пароля для пользовательского потока регистрации или входа:

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок.
3. В портале Azure найдите и выберите Azure AD B2C.
4. Выберите Потоки пользователей.
5. Выберите поток пользователей регистрации или входа (или введите Рекомендуемый), который требуется настроить.
6. С меню в разделе Параметры выберите элемент Свойства.
7. В разделе Конфигурация пароля выберите Самостоятельный сброс пароля.
8. Выберите Сохранить.
9. В меню слева в разделе Настройка выберите Макеты страниц.
10. В списке Page Layout Version (Версия макета страницы) выберите 2.1.3 или более позднюю версию.
11. Выберите Сохранить.

В следующих разделах описано, как добавить пользовательский интерфейс самостоятельного ввода пароля в настраиваемую политику. Пример основан на файлах политики, которые включены в начальный пакет пользовательской политики.

Указание того, что пользователь выбрал ссылку "Забыли пароль?"

Чтобы указать политике, что пользователь выбрал ссылку Забыли пароль?, определите логическое утверждение. С помощью этого утверждения путь взаимодействия пользователя можно направить в технический профиль Забытый пароль. Кроме того, маркеру может быть выдано утверждение, чтобы приложение определило, что пользователь вошел с помощью потока пользователя "Забытый пароль".

Утверждения объявляются в схеме утверждений. Откройте файл расширения политики (например, по пути SocialAndLocalAccounts/TrustFrameworkExtensions.xml.).

1. Найдите элемент BuildingBlocks. Если такой элемент не существует, добавьте его.

2. Найдите элемент ClaimsSchema. Если такой элемент не существует, добавьте его.

3. Добавьте следующее утверждение в элемент ClaimsSchema.

   <!-- 
   <BuildingBlocks>
     <ClaimsSchema> -->
       <ClaimType Id="isForgotPassword">
         <DisplayName>isForgotPassword</DisplayName>
         <DataType>boolean</DataType>
         <AdminHelpText>Whether the user has selected Forgot your Password</AdminHelpText>
       </ClaimType>
     <!--
     </ClaimsSchema>
   </BuildingBlocks> -->
   

Обновление версии макета страницы

Версия макета страницы 2.1.2 требуется для включения процесса самостоятельного сброса пароля на пути взаимодействия регистрации или входа. Обновление версии макета страницы:

1. Откройте базовый файл политики, например SocialAndLocalAccounts/TrustFrameworkBase.xml.

2. Найдите элемент BuildingBlocks. Если такой элемент не существует, добавьте его.

3. Найдите элемент ContentDefinitions. Если такой элемент не существует, добавьте его.

4. Измените элемент DataURI в элементе ContentDefinition с помощью идентификатора api.signuporsignin:

   <!-- 
   <BuildingBlocks>
     <ContentDefinitions> -->
       <ContentDefinition Id="api.signuporsignin">
         <DataUri>urn:com:microsoft:aad:b2c:elements:contract:unifiedssp:2.1.2</DataUri>
       </ContentDefinition>
     <!-- 
     </ContentDefinitions>
   </BuildingBlocks> -->
   

Добавление технических профилей

Доступ к утверждению isForgotPassword осуществляется с использованием технического профиля преобразования утверждений. Ссылка на технический профиль приводится далее. При вызове он устанавливает для утверждения isForgotPassword значение true.

1. Откройте файл расширения политики (например, по пути SocialAndLocalAccounts/TrustFrameworkExtensions.xml.).
2. Найдите элемент ClaimsProviders (если он не существует, создайте его), а затем добавьте следующего поставщика утверждений:

<!-- 
<ClaimsProviders> -->
  <ClaimsProvider>
    <DisplayName>Local Account</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="ForgotPassword">
        <DisplayName>Forgot your password?</DisplayName>
        <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
        <OutputClaims>
          <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="true" AlwaysUseDefaultValue="true"/>
        </OutputClaims>
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
      </TechnicalProfile>
      <TechnicalProfile Id="SelfAsserted-LocalAccountSignin-Email">
        <Metadata>
          <Item Key="setting.forgotPasswordLinkOverride">ForgotPasswordExchange</Item>
        </Metadata>
      </TechnicalProfile>
      <TechnicalProfile Id="LocalAccountWritePasswordUsingObjectId">
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
<!-- 
</ClaimsProviders> -->

Параметр setting.forgotPasswordLinkOverride технического профиля SelfAsserted-LocalAccountSignin-Email определяет обмен утверждениями сброса пароля, который выполняется в пути взаимодействия пользователя.

Технический профиль LocalAccountWritePasswordUsingObjectId диспетчера сеансов UseTechnicalProfileForSessionManagementSM-AAD необходим пользователю, чтобы выполнять последующие входы в систему, если применяется единый вход.

Добавление подпути сброса пароля

Теперь пользователь может войти в систему, зарегистрироваться и выполнить сброс пароля в пути взаимодействия пользователя. Для лучшего упорядочения пути взаимодействия пользователя вы можете использовать подпуть для обработки потока сброса пароля.

Подпуть вызывается из пути взаимодействия пользователя и выполняет определенные действия, позволяющие пользователю сбросить пароль. Используйте тип Call подпути, чтобы после его завершения элемент управления возвращался на этап оркестрации, инициирующий подпуть.

1. Откройте файл расширений политики, например SocialAndLocalAccounts/TrustFrameworkExtensions.xml.
2. Найдите элемент SubJourneys. Если такой элемент не существует, добавьте его после элемента путей взаимодействия пользователя. Затем добавьте следующий подпуть:

<!--
<SubJourneys>-->
  <SubJourney Id="PasswordReset" Type="Call">
    <OrchestrationSteps>
      <!-- Validate user's email address. -->
      <OrchestrationStep Order="1" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="PasswordResetUsingEmailAddressExchange" TechnicalProfileReferenceId="LocalAccountDiscoveryUsingEmailAddress" />
        </ClaimsExchanges>
      </OrchestrationStep>

      <!-- Collect and persist a new password. -->
      <OrchestrationStep Order="2" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="NewCredentials" TechnicalProfileReferenceId="LocalAccountWritePasswordUsingObjectId" />
        </ClaimsExchanges>
      </OrchestrationStep>
    </OrchestrationSteps>
  </SubJourney>
<!--
</SubJourneys>-->

Подготовка пути взаимодействия пользователя

Затем, чтобы подключить пароль к подзаговорке "Забыл пароль", вам потребуется ссылаться на идентификатор вложенного пути "Забыл пароль" в элементе ClaimsProviderSelection шага CombinedSignInAndSignUp.

Если у вас нет собственного пути взаимодействия пользователя с шагом CombinedSignInAndSignUp, выполните следующие инструкции для дублирования существующего пути взаимодействия пользователя для регистрации или входа. В противном случае перейдите к следующему разделу.

1. В начальном пакете откройте xml-файл TrustFrameworkBase.xml , например SocialAndLocalAccounts/TrustFrameworkBase.xml.
2. Найдите и скопируйте все содержимое элемента UserJourney, в котором присутствует запись Id="SignUpOrSignIn".
3. Файл Open TrustFrameworkExtensions.xml, например SocialAndLocalAccounts/TrustFrameworkExtensions.xml, и найдите элемент UserJourneys. Если элемент не существует, создайте его.
4. Создайте дочерний элемент элемента UserJourneys, вставив все содержимое элемента UserJourney, скопированное на шаге 2.
5. Переименуйте идентификатор пути взаимодействия пользователя. Например, Id="CustomSignUpSignIn".

Соедините ссылку на "Забыли пароль?" с подпутем "Забыли пароль".

В пути взаимодействия пользователя вы можете представить подпути "Забыли пароль" как ClaimsProviderSelection. Добавив этот элемент, вы подключаете пароль для забыли пароль? перейдите по ссылке forgot Password sub journey.

1. Откройте xml-файл TrustFrameworkExtensions.xml, например SocialAndLocalAccounts/TrustFrameworkExtensions.xml.

2. В пути взаимодействия пользователя найдите элемент шага оркестрации, включающий Type="CombinedSignInAndSignUp" или Type="ClaimsProviderSelection". Обычно это первый шаг оркестрации. Элемент ClaimsProviderSelections содержит список поставщиков удостоверений, которые пользователь может использовать для входа. Добавьте в него следующую строку.

   <ClaimsProviderSelection TargetClaimsExchangeId="ForgotPasswordExchange" />
   

3. На следующем шаге оркестрации добавьте элемент ClaimsExchange , добавив следующую строку:

   <ClaimsExchange Id="ForgotPasswordExchange" TechnicalProfileReferenceId="ForgotPassword" />
   

4. Добавьте следующий шаг оркестрации между текущим и следующим шагами. Новый добавляемый шаг оркестрации проверяет, существует ли утверждение isForgotPassword. Если утверждение существует, вызывается подпуть сброса пароля.

   <OrchestrationStep Order="3" Type="InvokeSubJourney">
     <Preconditions>
       <Precondition Type="ClaimsExist" ExecuteActionsIf="false">
         <Value>isForgotPassword</Value>
         <Action>SkipThisOrchestrationStep</Action>
       </Precondition>
     </Preconditions>
     <JourneyList>
       <Candidate SubJourneyReferenceId="PasswordReset" />
     </JourneyList>
   </OrchestrationStep>
   

5. После добавления новых шагов оркестрации повторно последовательно пронумеруйте шаги, не пропуская ни одного целого числа от 1 до N.

Настройка выполнения пути взаимодействия пользователя

Теперь, после изменения или создания пути взаимодействия пользователя, в разделе Проверяющая сторона укажите путь, который Azure AD B2C будет выполнять для этой пользовательской политики.

1. Откройте файл с элементом "Проверяющая сторона ", например SocialAndLocalAccounts/SignUpOrSignin.xml.

2. В элементе RelyingParty найдите элемент DefaultUserJourney.

3. Обновите ReferenceId DefaultUserJourney в соответствии с идентификатором пути взаимодействия пользователя, в который вы добавили ClaimsProviderSelections.

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

Указание потока "Забыли пароль" для приложения

Приложению может потребоваться определить, выполнил ли вход пользователь с использованием потока пользователя "Забыли пароль". Утверждение isForgotPassword содержит логическое значение, указывающее на то, что это сделано. Утверждение может быть выдано в токене, отправляемом в приложение. При необходимости добавьте isForgotPassword к выходным утверждениям в разделе Проверяющая сторона. Приложение может проверить утверждение isForgotPassword, чтобы определить, сбрасывает ли пользователь пароль.

<RelyingParty>
  <OutputClaims>
    ...
    <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="false" />
  </OutputClaims>
</RelyingParty>

Передача настраиваемой политики

1. Войдите на портал Azure.
2. Если у вас есть доступ к нескольким клиентам, выберите значок Параметры в верхнем меню, чтобы переключиться на клиент Azure AD B2C из меню каталогов и подписок.
3. В портале Azure найдите и выберите Azure AD B2C.
4. В меню в разделе Политики выберите элемент Identity Experience Framework.
5. Выберите Отправить настраиваемую политику. В следующем порядке отправьте измененные файлы политики:
   1. Базовый файл политики, например TrustFrameworkBase.xml.
   2. файл политики расширения, например TrustFrameworkExtensions.xml;
   3. файл политики проверяющей стороны, например SignUpSignIn.xml.

Создание потока пользователя сброса пароля

Чтобы пользователи приложения могли сбрасывать пароли, создается поток пользователя сброса паролей.

1. На портале Azure перейдите к странице обзора арендатора Azure AD B2C.
2. В меню слева в разделе Политики выберите элемент Потоки пользователей и щелкните команду Создать поток пользователя.
3. На странице Создание потока пользователя выберите поток пользователя Сброс пароля.
4. В разделе Выбор версии, выберите элемент Рекомендуемая и нажмите кнопку Создать.
5. В поле Имя введите имя потока пользователя. Например, passwordreset1.
6. В разделе Поставщики удостоверений включите Сброс пароля с использованием имени пользователя или Сброс пароля с использованием адреса электронной почты.
7. Если требуется, чтобы пользователи проверяли свои удостоверения с использованием второго метода проверки подлинности, в разделе Многофакторная проверка подлинности выберите тип метода и укажите, когда следует применять многофакторную проверку подлинности. Подробнее.
8. Если вы настроили политики условного доступа для клиента Azure AD B2C и хотите использовать их в этом потоке пользователя, в разделе Условный доступ установите флажок Enforce conditional access policies (Принудительное применение политик условного доступа). Указывать имя политики не требуется. Подробнее.
9. В разделе Утверждения приложения выберите элемент Показать еще. Выберите утверждения, которые должны возвращаться в маркерах авторизации, отправляемых обратно в приложение. Например, выберите ИД объекта пользователя.
10. Нажмите ОК.
11. Для добавления потока пользователя выберите команду Создать. Префикс B2C_1 автоматически добавляется к имени.

Тестирование потока пользователя

Тестирование потока пользователя:

1. Выберите созданный поток пользователя. На странице обзора потока пользователя выберите команду Выполнить поток пользователя.
2. Для приложения выберите веб-приложение, которое вы хотите протестировать, например одно именованное webapp1 , если вы зарегистрировали это ранее. URL-адрес ответа должен иметь значение https://jwt.ms.
3. Выберите "Запустить поток пользователя", проверьте адрес электронной почты учетной записи, для которой требуется сбросить пароль, а затем нажмите кнопку "Продолжить".
4. Измените пароль, а затем щелкните команду Продолжить. В https://jwt.ms возвращается токен, и браузер отображает его.

Создание политики сброса паролей

Настраиваемые политики представляют собой набор XML-файлов, которые вы отправляете в клиент Azure AD B2C для определения путей взаимодействия пользователей. Мы предоставляем начальные пакеты, в которых есть несколько готовых политик, включая политики регистрации, входа, сброса пароля и изменения профиля. Дополнительные сведения см. в статье Начало работы с настраиваемыми политиками в Azure AD B2C.