Connect to Azure AD B2C with OpenID Connect
FoxIDs puo essere collegato ad Azure AD B2C con OpenID Connect e quindi autenticare utenti finali in un tenant Azure AD B2C.
Configure integration
Questo capitolo descrive come configurare una connessione con OpenID Connect Authorization Code flow e PKCE, che e il flusso OpenID Connect raccomandato.
1 - Inizia creando un metodo di autenticazione OpenID Connect in FoxIDs Control Client
- Aggiungi il nome
- Seleziona show advanced
- Seleziona tildes URL binding pattern
Ora e possibile leggere Redirect URL, Post logout redirect URL e Front channel logout URL.
2 - Poi vai in Azure AD B2C e crea il profilo app
- Crea il profilo app
- Il profilo produrra un'authority come questa
https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/, inclusivo del nome del profilo
Quando l'authority viene registrata in FoxIDs come metodo di autenticazione, FoxIDs chiamera il discovery endpoint dell'authority che in questo caso sara https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/.well-known/openid-configuration
Se ricevi un URL del discovery endpoint formattato con il nome del profilo Azure AD B2C nella query string in questo modo
...?p=B2C_1A_SOME_SIGNIN_PROFILE, devi cambiare la struttura dell'URL.
L'URL completo sarebbehttps://some-domain.b2clogin.com/some-domain.onmicrosoft.com/v2.0/.well-known/openid-configuration?p=B2C_1A_SOME_SIGNIN_PROFILEe l'authority diventa quindihttps://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/, dove il nome del profilo Azure AD B2C viene spostato come elemento di percorso nell'URL.
3 - Torna al metodo di autenticazione FoxIDs in FoxIDs Control Client
Azure AD B2C per impostazione predefinita non restituisce un access token nella token response e quindi non e conforme a OpenID Connect Authorization Code flow. Devi aggiungere un client ID Azure AD B2C come scope per fare in modo che venga restituito un access token.
- Aggiungi l'authority, che e
https://some-domain.b2clogin.com/some-domain.onmicrosoft.com/B2C_1A_SOME_SIGNIN_PROFILE/v2.0/ - Aggiungi gli scope profile ed email, eventualmente altri o ulteriori scope
- Aggiungi il client ID Azure AD B2C come custom SP client ID
- Aggiungi il client ID Azure AD B2C come scope
- Aggiungi il valore client secret Azure AD B2C come client secret
- Probabilmente / eventualmente devi selezionare l'uso dei claim dall'ID token
- Aggiungi i claim che verranno trasferiti dal metodo di autenticazione alle registrazioni applicative. Ad esempio preferred_username, email, name, given_name, family_name, oid, ipaddr e possibilmente il claim access_token per trasferire l'access token Azure AD B2C alle registrazioni applicative
- Fai clic su create
E tutto, hai finito.
Il nuovo metodo di autenticazione puo ora essere selezionato come metodo di autenticazione consentito in una registrazione applicativa.
La registrazione applicativa puo leggere i claim dal metodo di autenticazione. E possibile aggiungere il claim access_token per includere l'access token Azure AD B2C come claim nell'access token emesso.