Azure Active Directory B2C özel ilkesinde SAML kimlik sağlayıcısı teknik profili tanımlama

Azure Active Directory B2C (Azure AD B2C), SAML 2.0 kimlik sağlayıcısı için destek sağlar. Bu makalede, bu standartlaştırılmış protokolü destekleyen bir talep sağlayıcısıyla etkileşime yönelik teknik profilin özellikleri açıklanmaktadır. SAML teknik profili ile ADFS ve Salesforce gibi SAML tabanlı bir kimlik sağlayıcısıyla federasyon oluşturabilirsiniz. Bu federasyon, kullanıcılarınızın mevcut sosyal veya kurumsal kimlikleriyle oturum açmasına olanak tanır.

Meta veri değişimi

Meta veriler, SAML protokolünde hizmet sağlayıcısı veya kimlik sağlayıcısı gibi bir SAML grubunun yapılandırmasını ortaya çıkarmak için kullanılan bilgilerdir. Meta veriler, hizmetlerin oturum açma ve oturum kapatma, sertifikalar, oturum açma yöntemi ve daha fazlası gibi konumunu tanımlar. Kimlik sağlayıcısı, Azure AD B2C ile nasıl iletişim kuracaklarını öğrenmek için meta verileri kullanır. Meta veriler XML biçiminde yapılandırılır ve diğer tarafın meta verilerin bütünlüğünü doğrulayabilmesi için dijital imzayla imzalanabilir. Azure AD B2C bir SAML kimlik sağlayıcısıyla bir araya geldiğinde, bir SAML isteği başlatan ve SAML yanıtı bekleyen bir hizmet sağlayıcısı olarak görev yapar. Ve bazı durumlarda, kimlik sağlayıcısı tarafından başlatılan olarak da bilinen istenmeyen SAML kimlik doğrulamayı kabul eder.

Meta veriler her iki taraf için de "Statik Meta Veriler" veya "Dinamik Meta Veriler" olarak yapılandırılabilir. Statik modda, meta verilerin tamamını bir taraftan kopyalar ve diğer tarafa ayarlarsınız. Dinamik modda, diğer taraf yapılandırmayı dinamik olarak okurken meta verilerin URL'sini ayarlarsınız. İlkeler aynıdır, kimlik sağlayıcınızda Azure AD B2C teknik profilinin meta verilerini ve Azure AD B2C'de kimlik sağlayıcısının meta verilerini ayarlarsınız.

Her SAML kimlik sağlayıcısının hizmet sağlayıcısını kullanıma sunma ve ayarlamaya yönelik farklı adımları vardır. Bu durumda B2C Azure AD ve kimlik sağlayıcısındaki Azure AD B2C meta verilerini ayarlayabilirsiniz. Bunun nasıl yapılacağını öğrenmek için kimlik sağlayıcınızın belgelerine bakın.

Aşağıdaki örnekte, Azure AD B2C teknik profilinin SAML meta verilerinin URL adresi gösterilmektedir:

https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com/your-policy/samlp/metadata?idptp=your-technical-profile

Aşağıdaki değerleri değiştirin:

• kiracı adınız (örneğin, fabrikam.b2clogin.com).
• ilkenizin adını yazın. SAML sağlayıcısı teknik profilini yapılandırdığınız ilkeyi veya bu ilkeden devralan bir ilkeyi kullanın.
• saml kimlik sağlayıcısı teknik profil adı ile sizin-technical-profile.

Dijital imzalama sertifikaları değişimi

Azure AD B2C ile SAML kimlik sağlayıcınız arasında güven oluşturmak için özel anahtarla geçerli bir X509 sertifikası sağlamanız gerekir. Özel anahtar (.pfx dosyası) içeren sertifikayı Azure AD B2C ilke anahtar deposuna yüklersiniz. Azure AD B2C, sağladığınız sertifikayı kullanarak SAML oturum açma isteğini dijital olarak imzalar.

Sertifika aşağıdaki yollarla kullanılır:

• Azure AD B2C, sertifikanın Azure AD B2C özel anahtarını kullanarak bir SAML isteği oluşturur ve imzalar. SAML isteği, sertifikanın Azure AD B2C ortak anahtarını kullanarak isteği doğrulayan kimlik sağlayıcısına gönderilir. Azure AD B2C ortak sertifikasına teknik profil meta verileri aracılığıyla erişilebilir. Alternatif olarak, .cer dosyasını SAML kimlik sağlayıcınıza el ile yükleyebilirsiniz.
• Kimlik sağlayıcısı, kimlik sağlayıcısının sertifikanın özel anahtarını kullanarak Azure AD B2C'ye gönderilen verileri imzalar. Azure AD B2C, kimlik sağlayıcısının genel sertifikasını kullanarak verileri doğrular. Her kimlik sağlayıcısının kurulum için farklı adımları vardır. Bunun nasıl yapılacağını öğrenmek için kimlik sağlayıcınızın belgelerine bakın. Azure AD B2C'de ilkenizin kimlik sağlayıcısının meta verilerini kullanarak sertifika ortak anahtarına erişmesi gerekir.

Otomatik olarak imzalanan sertifika çoğu senaryo için kabul edilebilir. Üretim ortamları için, bir sertifika yetkilisi tarafından verilen bir X509 sertifikası kullanılması önerilir. Ayrıca, bu belgenin ilerleyen bölümlerinde açıklandığı gibi, üretim dışı bir ortam için saml imzalamayı her iki tarafta da devre dışı bırakabilirsiniz.

Aşağıdaki diyagramda meta veriler ve sertifika değişimi gösterilmektedir:

Dijital şifreleme

SAML yanıt onayını şifrelemek için kimlik sağlayıcısı her zaman Azure AD B2C teknik profilindeki bir şifreleme sertifikasının ortak anahtarını kullanır. Azure AD B2C'nin verilerin şifresini çözmesi gerektiğinde şifreleme sertifikasının özel bölümünü kullanır.

SAML yanıt onayını şifrelemek için:

1. Özel anahtarla (.pfx dosyası) geçerli bir X509 sertifikasını Azure AD B2C ilke anahtar deposuna yükleyin.
2. Teknik profil CryptographicKeys koleksiyonuna tanımlayıcısı SamlAssertionDecryption olan bir CryptographicKey öğesi ekleyin. StorageReferenceId değerini 1. adımda oluşturduğunuz ilke anahtarının adı olarak ayarlayın.
3. WantsEncryptedAssertions teknik profil meta verilerini olarak trueayarlayın.
4. Kimlik sağlayıcısını yeni Azure AD B2C teknik profil meta verileriyle güncelleştirin. Use özelliği sertifikanızın ortak anahtarını içerecek şekilde encryption ayarlanmış KeyDescriptor'ı görmeniz gerekir.

Aşağıdaki örnekte, şifreleme için kullanılan SAML meta verilerinin Anahtar Tanımlayıcısı bölümü gösterilmektedir:

<KeyDescriptor use="encryption">
  <KeyInfo xmlns="https://www.w3.org/2000/09/xmldsig#">
    <X509Data>
      <X509Certificate>valid certificate</X509Certificate>
    </X509Data>
  </KeyInfo>
</KeyDescriptor>

Protokol

Protocol öğesinin Name özniteliğinin olarak SAML2ayarlanması gerekir.

Giriş talepleri

InputClaims öğesi, SAML Kimlik Doğrulama İsteğinin Konusu içinde bir NameId göndermek için kullanılır. Bunu başarmak için aşağıda gösterildiği gibi PartnerClaimType olarak ayarlanmış subject bir giriş talebi ekleyin.

<InputClaims>
	<InputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="subject" />
</InputClaims>

Çıkış talepleri

OutputClaims öğesi, bölümü altında SAML kimlik sağlayıcısı tarafından döndürülen taleplerin AttributeStatement listesini içerir. İlkenizde tanımlanan talebin adını kimlik sağlayıcısında tanımlanan adla eşlemeniz gerekebilir. Özniteliğini ayarladığınız DefaultValue sürece kimlik sağlayıcısı tarafından döndürülmeyecek talepleri de ekleyebilirsiniz.

Konu adı çıkış talebi

Konu'daki SAML onay adı kimliğini normalleştirilmiş bir talep olarak okumak için PartnerClaimType talebi değerini özniteliğin SPNameQualifier değerine ayarlayın. SPNameQualifierÖznitelik sunulmazsa PartnerClaimType talebi değerini özniteliğin NameQualifier değerine ayarlayın.

SAML onayı:

<saml:Subject>
  <saml:NameID SPNameQualifier="http://your-idp.com/unique-identifier" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">david@contoso.com</saml:NameID>
  <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    <SubjectConfirmationData InResponseTo="_cd37c3f2-6875-4308-a9db-ce2cf187f4d1" NotOnOrAfter="2020-02-15T16:23:23.137Z" Recipient="https://your-tenant.b2clogin.com/your-tenant.onmicrosoft.com/B2C_1A_TrustFrameworkBase/samlp/sso/assertionconsumer" />
    </SubjectConfirmation>
  </saml:SubjectConfirmation>
</saml:Subject>

Çıkış talebi:

<OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="http://your-idp.com/unique-identifier" />

SAML onayında hem hem de SPNameQualifierNameQualifier öznitelikler sunulmuyorsa PartnerClaimType talebi olarak assertionSubjectNameayarlayın. NameId değerinin onay XML'sindeki ilk değer olduğundan emin olun. Birden fazla onay tanımladığınızda, Azure AD B2C son onaydan konu değerini seçer.

Aşağıdaki örnekte SAML kimlik sağlayıcısı tarafından döndürülen talepler gösterilmektedir:

• IssuerUserId talebi assertionSubjectName talebiyle eşlenir.
• first_name talebi givenName talebiyle eşlenir.
• last_name talebi soyad talebiyle eşlenir.
• displayName talebi ad talebiyle eşlenir.
• Ad eşlemesi olmadan e-posta talebi.

Teknik profil, kimlik sağlayıcısı tarafından döndürülmeyecek talepleri de döndürür:

• Kimlik sağlayıcısının adını içeren identityProvider talebi.
• socialIdpAuthentication varsayılan değerine sahip authenticationSource talebi.

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="assertionSubjectName" />
  <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="first_name" />
  <OutputClaim ClaimTypeReferenceId="surname" PartnerClaimType="last_name" />
  <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
  <OutputClaim ClaimTypeReferenceId="email"  />
  <OutputClaim ClaimTypeReferenceId="identityProvider" DefaultValue="contoso.com" />
  <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" />
</OutputClaims>

OutputClaimsTransformations öğesi, çıkış taleplerini değiştirmek veya yenilerini oluşturmak için kullanılan OutputClaimsTransformation öğelerinin bir koleksiyonunu içerebilir.

Meta veri

Şifreleme anahtarları

CryptographicKeys öğesi aşağıdaki öznitelikleri içerir:

Sonraki adımlar

Azure AD B2C'de SAML kimlik sağlayıcılarıyla çalışma örnekleri için aşağıdaki makalelere bakın:

• Özel ilkeler kullanarak ADFS'yi SAML kimlik sağlayıcısı olarak ekleme
• SAML aracılığıyla Salesforce hesaplarını kullanarak oturum açma