Konfigurera en anpassad anspråksprovider för en tokenutfärdingshändelse

Registrera ett anpassat autentiseringstillägg

1. Logga in på Azure-portalen som minst programadministratör och autentiseringsadministratör.
2. Sök efter och välj Microsoft Entra-ID och välj Företagsprogram.
3. Välj Anpassade autentiseringstillägg och välj sedan Skapa ett anpassat tillägg.
4. I Grundläggande väljer du händelsetypen TokenIssuanceStart och väljer Nästa.
5. Fyll i följande egenskaper i Slutpunktskonfiguration:
   • Namn – Ett namn på ditt anpassade autentiseringstillägg. Till exempel tokenutfärdingshändelse.
   • Mål-URL – Url:en för {Function_Url} din Azure-funktion. Gå till sidan Översikt för azure-funktionsappen och välj sedan den funktion som du skapade. På funktionsöversiktssidan väljer du Hämta funktions-URL och använder kopieringsikonen för att kopiera url:en för customauthenticationextension_extension (systemnyckel).
   • Beskrivning – En beskrivning av dina anpassade autentiseringstillägg.
6. Välj Nästa.
7. I API-autentisering väljer du alternativet Skapa ny appregistrering för att skapa en appregistrering som representerar din funktionsapp.
8. Ge appen ett namn, till exempel API för Azure Functions-autentiseringshändelser.
9. Välj Nästa.
10. I Anspråk anger du de attribut som du förväntar dig att ditt anpassade autentiseringstillägg ska parsa från rest-API:et och sammanfogas till token. Lägg till följande anspråk:
    • dateOfBirth
    • customRoles
    • apiVersion
    • correlationId
11. Välj Nästa och sedan Skapa, som registrerar det anpassade autentiseringstillägget och den associerade programregistreringen.
12. Observera app-ID :t under API-autentisering, som behövs för att konfigurera autentisering för din Azure-funktion i azure-funktionsappen.

Registrera en app

1. Logga in på Graph Explorer med ett konto vars hemklient är den klientorganisation där du vill hantera ditt anpassade autentiseringstillägg. Det här kontot måste ha behörighet att skapa och hantera en programregistrering i klientorganisationen.

2. Kör följande begäran.

   POST https://graph.microsoft.com/v1.0/applications
   Content-type: application/json
   
   {
       "displayName": "authenticationeventsAPI"
   }
   

3. Från svaret registrerar du värdet för ID och appId för den nyligen skapade appregistreringen. Dessa värden refereras i den här artikeln som {authenticationeventsAPI_ObjectId} respektive {authenticationeventsAPI_AppId} .

Skapa ett huvudnamn för tjänsten i klientorganisationen för appregistreringen authenticationeventsAPI.

Kör följande begäran i Graph Explorer. Ersätt {authenticationeventsAPI_AppId} med värdet för appId som du registrerade från föregående steg.

POST https://graph.microsoft.com/v1.0/servicePrincipals
Content-type: application/json
    
{
    "appId": "{authenticationeventsAPI_AppId}"
}

Ange app-ID-URI, åtkomsttokenversion och nödvändig resursåtkomst

Uppdatera det nyligen skapade programmet för att ange URI-värdet för program-ID, åtkomsttokenversionen och nödvändig resursåtkomst.

Kör följande begäran i Graph Explorer.

• Ange URI-värdet för program-ID i egenskapen identifierUris . Ersätt {Function_Url_Hostname} med värdnamnet för du {Function_Url} registrerade tidigare.
• Ange värdet {authenticationeventsAPI_AppId} med det appId som du registrerade tidigare.
• Ett exempelvärde är api://authenticationeventsAPI.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444. Anteckna det här värdet när du använder det senare i den här artikeln i stället för {functionApp_IdentifierUri}.

POST https://graph.microsoft.com/v1.0/applications/{authenticationeventsAPI_ObjectId}
Content-type: application/json

{
"identifierUris": [
    "api://{Function_Url_Hostname}/{authenticationeventsAPI_AppId}"
],    
"api": {
    "requestedAccessTokenVersion": 2,
    "acceptMappedClaims": null,
    "knownClientApplications": [],
    "oauth2PermissionScopes": [],
    "preAuthorizedApplications": []
},
"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                "type": "Role"
            }
        ]
    }
]
}

Registrera ett anpassat autentiseringstillägg

Om du vill registrera det anpassade autentiseringstillägget associerar du det med appregistreringen för Azure-funktionen och azure-funktionsslutpunkten {Function_Url}.

1. Kör följande begäran i Graph Explorer. Ersätt {Function_Url} med värdnamnet för din Azure-funktionsapp. Ersätt {functionApp_IdentifierUri} med identifierarenUri som användes i föregående steg.

   • Du behöver behörigheten CustomAuthenticationExtension.ReadWrite.All delegated.

   POST https://graph.microsoft.com/beta/identity/customAuthenticationExtensions
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtension",
       "displayName": "onTokenIssuanceStartCustomExtension",
       "description": "Fetch additional claims from custom user store",
       "endpointConfiguration": {
           "@odata.type": "#microsoft.graph.httpRequestEndpoint",
           "targetUrl": "{Function_Url}"
       },
       "authenticationConfiguration": {
           "@odata.type": "#microsoft.graph.azureAdTokenAuthentication",
           "resourceId": "{functionApp_IdentifierUri}"
       },
       "claimsForTokenConfiguration": [
           {
               "claimIdInApiResponse": "DateOfBirth"
           },
           {
               "claimIdInApiResponse": "CustomRoles"
           }
       ]
   }
   

2. Registrera värdet för id det skapade objektet för anpassade anspråksprovider. Du använder värdet senare i den här självstudien i stället för {customExtensionObjectId}.

Fortsätt till nästa steg: Tilldela en anpassad anspråksprovider till din app.

3.4 Associera din app med ett användarflöde

För externa klienter måste du associera din app med ett användarflöde. Ett användarflöde definierar de autentiseringsmetoder som en kund kan använda för att logga in på ditt program och den information de behöver ange under registreringen. Se till att du slutför stegen i Lägg till ett program i ett användarflöde innan du fortsätter att lägga till Mitt testprogram i användarflödet.

Tilldela det anpassade autentiseringstillägget som en källa för en anpassad anspråksprovider.

1. På sidan Start i Azure-portalen väljer du Microsoft Entra-ID.

2. VäljFöretagsprogram och välj sedan Alla program under Hantera. Leta upp och välj Mitt testprogram i listan.

3. Gå till Hantera på översiktssidan i mitt testprogram och välj Enkel inloggning.

4. Under Attribut och anspråk väljer du Redigera.

   

5. Expandera menyn Avancerade inställningar.

6. Bredvid Anpassad anspråksprovider väljer du Konfigurera.

7. Expandera listrutan Anpassad anspråksprovider och välj händelsen Tokenutfärdande som du skapade tidigare.

8. Välj Spara.

Tilldela sedan attributen från den anpassade anspråksprovidern, som ska utfärdas till token som anspråk:

1. Välj Lägg till nytt anspråk för att lägga till ett nytt anspråk. Ange ett namn på det anspråk som du vill utfärda, till exempel dateOfBirth.

2. Under Källa väljer du Attribut och väljer customClaimsProvider.dateOfBirth i listrutan Källattribut .

   

3. Välj Spara.

4. Upprepa den här processen för att lägga till attributen customClaimsProvider.customRoles, customClaimsProvider.apiVersion och customClaimsProvider.correlationId och motsvarande namn. Det är en bra idé att matcha namnet på anspråket med namnet på attributet.

Skapa först en händelselyssnare för att utlösa ett anpassat autentiseringstillägg för programmet Mitt test med hjälp av starthändelsen för tokenutfärdning.

1. Logga in på Graph Explorer med ett konto vars hemklientorganisation är den klientorganisation som du vill hantera ditt anpassade autentiseringstillägg i.

2. Kör följande begäran. Ersätt {App_to_enrich_ID} med app-ID :t för mitt testprogram som registrerats tidigare. Ersätt {customExtensionObjectId} med det anpassade autentiseringstilläggs-ID som registrerats tidigare.

   • Du behöver behörigheten EventListener.ReadWrite.All delegated.

   POST https://graph.microsoft.com/beta/identity/authenticationEventListeners
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartListener",
       "conditions": {
           "applications": {
               "includeAllApplications": false,
               "includeApplications": [
                   {
                       "appId": "{App_to_enrich_ID}"
                   }
               ]
           }
       },
       "priority": 500,
       "handler": {
           "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
           "customExtension": {
               "id": "{customExtensionObjectId}"
           }
       }
   }
   

Skapa sedan principen för anspråksmappning, som beskriver vilka anspråk som kan utfärdas till ett program från en anpassad anspråksprovider.

1. Kör följande begäran i Graph Explorer. Du behöver behörigheten Policy.ReadWrite.ApplicationConfiguration delegerad.

   POST https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies
   Content-type: application/json
   
   {
       "definition": [
           "{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\":[{\"Source\":\"CustomClaimsProvider\",\"ID\":\"DateOfBirth\",\"JwtClaimType\":\"dob\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CustomRoles\",\"JwtClaimType\":\"my_roles\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CorrelationId\",\"JwtClaimType\":\"correlationId\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"ApiVersion\",\"JwtClaimType\":\"apiVersion \"},{\"Value\":\"tokenaug_V2\",\"JwtClaimType\":\"policy_version\"}]}}"
       ],
       "displayName": "MyClaimsMappingPolicy",
       "isOrganizationDefault": false
   }
   

2. Registrera den ID genererade i svaret, senare kallas {claims_mapping_policy_ID}det .

Hämta objekt-ID:t för tjänstens huvudnamn:

1. Kör följande begäran i Graph Explorer. Ersätt {App_to_enrich_ID} med appId för mitt testprogram.

   GET https://graph.microsoft.com/v1.0/servicePrincipals(appId='{App_to_enrich_ID}')
   

Registrera värdet för ID.

Tilldela principen för anspråksmappning till tjänstens huvudnamn för Mitt testprogram.

1. Kör följande begäran i Graph Explorer. Du behöver behörigheten Policy.ReadWrite.ApplicationConfiguration och Application.ReadWrite.All delegated.

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{test_App_Service_Principal_ObjectId}/claimsMappingPolicies/$ref
   Content-type: application/json
   
   {
       "@odata.id": "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/{claims_mapping_policy_ID}"
   }
   

1. I Azure-portalen letar du upp och väljer den funktionsapp som du tidigare publicerade.

2. Under Inställningar väljer du Autentisering.

3. Välj Lägg till identitetsprovider.

4. Välj Microsoft som identitetsprovider.

5. Välj Personal som klientorganisationstyp.

6. Under Appregistrering väljer du Välj en befintlig appregistrering i den här katalogen för appregistreringstypen och välj api-appregistreringen för Azure Functions-autentiseringshändelser som du skapade tidigare när du registrerade den anpassade anspråksprovidern.

7. Ange följande utfärdar-URL, , https://login.microsoftonline.com/{tenantId}/v2.0där {tenantId} är klientorganisations-ID:t för din arbetsstyrkas klientorganisation.

8. Under Krav för klientprogram väljer du Tillåt begäranden från specifika klientprogram och anger 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Under Krav för klientorganisation väljer du Tillåt begäranden från specifika klienter och anger ditt klient-ID för anställda.

10. Under Oautentiserade begäranden väljer du HTTP 401 Obehörig som identitetsprovider.

11. Avmarkera alternativet Tokenlagring .

12. Välj Lägg till för att lägga till autentisering i din Azure-funktion.

    

1. I Azure-portalen letar du upp och väljer den funktionsapp som du tidigare publicerade.

2. Under Inställningar väljer du Autentisering.

3. Välj Lägg till identitetsprovider.

4. Välj Microsoft som identitetsprovider.

5. Välj Extern konfiguration som klienttyp.

6. Under Appregistrering väljer du Ange information om en befintlig appregistrering för appregistreringstypen och anger api-appregistreringen client_id för Azure Functions-autentiseringshändelser som du skapade tidigare när du registrerade den anpassade anspråksprovidern.

7. För utfärdarens URL anger du följande URL https://{domainName}.ciamlogin.com/{tenant_id}/v2.0, där

   • {domainName} är domännamnet för den externa klientorganisationen i formuläret {domainName}.contoso.com.
   • {tenantId} är klientorganisations-ID för din externa klientorganisation.

8. Under Krav för klientprogram väljer du Tillåt begäranden från specifika klientprogram och anger 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Under Krav för klientorganisation väljer du Tillåt begäranden från specifika klienter och anger ditt externa klient-ID.

10. Under Oautentiserade begäranden väljer du HTTP 401 Obehörig som identitetsprovider.

11. Avmarkera alternativet Tokenlagring .

12. Välj Lägg till för att lägga till autentisering i din Azure-funktion.

    

1. Öppna en ny privat webbläsare och navigera och logga in via följande URL.

   https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Ersätt {tenantId} med ditt klientorganisations-ID, klientnamn eller något av dina verifierade domännamn. Exempel: contoso.onmicrosoft.com

3. Ersätt {App_to_enrich_ID} med klient-ID för mitt testprogram .

4. När du har loggat in visas din avkodade token på https://jwt.ms. Kontrollera att anspråken från Azure-funktionen visas i den avkodade token, till exempel dateOfBirth.

1. Öppna en ny privat webbläsare och navigera och logga in via följande URL.

   https://{domainName}.ciamlogin.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Ersätt {domainName} med ditt domännamn, till exempel contoso.

3. Ersätt {tenantId} med ditt klientorganisations-ID, klientnamn eller något av dina verifierade domännamn. Exempel: contoso.onmicrosoft.com

4. Ersätt {App_to_enrich_ID} med klient-ID för mitt testprogram .

5. Gå igenom det inloggningsanvändarflöde som du har konfigurerat och godkänn de begärda behörigheterna.

6. När du har loggat in visas din avkodade token på https://jwt.ms. Kontrollera att anspråken från Azure-funktionen visas i den avkodade token, till exempel dateOfBirth.