Tilslut Azure AD B2C med OpenID Connect

FoxIDs kan tilsluttes Azure AD B2C med OpenID Connect og dermed autentificere slutbrugere i en Azure AD B2C tenant.

Konfigurer integration

Dette afsnit beskriver, hvordan du konfigurerer en forbindelse med OpenID Connect Authorization Code flow og PKCE, som er det anbefalede OpenID Connect flow.

1 - Start med at oprette en OpenID Connect autentificeringsmetode i FoxIDs Control Client

1. Tilføj navnet
2. Vælg show advanced
3. Vælg tildes URL binding pattern

Det er nu muligt at læse Redirect URL, Post logout redirect URL og Front channel logout URL.

2 - Gå derefter til Azure AD B2C og opret app profilen

1. Opret app profil
2. Profilen resulterer i en authority som denne https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/, inklusiv profilnavnet

Når authority er registreret i FoxIDs som en autentificeringsmetode, kalder FoxIDs discovery endpoint på authority som i dette tilfælde er https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/.well-known/openid-configuration

Hvis du modtager en discovery endpoint URL med Azure AD B2C profilnavnet i query string som dette ...?p=B2C_1A_SOME_SIGNIN_PROFILE skal du ændre URL strukturen. Den fulde URL vil se sådan ud https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/v2.0/.well-known/openid-configuration?p=B2C_1A_SOME_SIGNIN_PROFILE og authority er derefter https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/ hvor Azure AD B2C profilnavnet flyttes til at være et path element i URL'en.

3 - Gå tilbage til FoxIDs autentificeringsmetoden i FoxIDs Control Client

Azure AD B2C returnerer som standard ikke et access token i token responsen og er dermed ikke OpenID Connect Authorization Code flow kompatibel. Du skal tilføje en Azure AD B2C client ID som et scope for at få et access token returneret.

1. Tilføj authority, som er https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/
2. Tilføj profil og email scopes (muligvis andre eller flere scopes)
3. Tilføj Azure AD B2C client ID som en custom SP client ID
4. Tilføj Azure AD B2C client ID som et scope
5. Tilføj Azure AD B2C client secret værdien som client secret
6. Du skal sandsynligvis vælge at bruge claims fra ID token
7. Tilføj de claims der overføres fra autentificeringsmetoden til applikationsregistreringerne. F.eks. preferred_username, email, name, given_name, family_name, oid, ipaddr og evt. access_token claim for at overføre Azure AD B2C access token til applikationsregistreringer
8. Klik create

Det var det.

Den nye autentificeringsmetode kan nu vælges som en tilladt autentificeringsmetode i en applikationsregistrering. Applikationsregistreringen kan læse claims fra autentificeringsmetoden. Det er muligt at tilføje access_token claim for at inkludere Azure AD B2C access token som en claim i det udstedte access token.