Azure Active Directory B2C でパスワード リセット フローを設定する

• ユーザーが サインアップしてアプリケーションにサインインできるように、ユーザー フローを作成します。
• Web アプリケーションを登録します。

• 「Active Directory B2C でのカスタム ポリシーの概要」の手順を完了してください。 このチュートリアルでは、Azure AD B2C テナント構成を使用するようにカスタム ポリシー ファイルを更新する方法について説明します。
• Web アプリケーションを登録します。

セルフサービス パスワード リセット エクスペリエンスは、サインイン (推奨) またはサインアップとサインイン (推奨) ユーザー フロー用に構成できます。 これらのユーザー フローのいずれかを設定していない場合は、 サインアップまたはサインイン ユーザー フローを作成します。

サインアップまたはサインイン ユーザー フローのセルフサービス パスワード リセットを設定するには:

1. Azure portal にサインインします。
2. 複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
3. Azure portal で、 [Azure AD B2C] を検索して選択します。
4. ユーザーフローを選択します。
5. カスタマイズするサインアップまたはサインイン ユーザー フロー ( 推奨の種類) を選択します。
6. [ 設定] の下のメニューで、[プロパティ] を選択 します。
7. [ パスワードの構成] で、[ セルフサービスパスワードリセット] を選択します。
8. 保存 を選択します。
9. 左側のメニューの [ カスタマイズ] で、[ ページ レイアウト] を選択します。
10. [ページ レイアウト バージョン] で、2.1.3 以降を選択します。
11. 保存 を選択します。

次のセクションでは、カスタム ポリシーにセルフサービス パスワード エクスペリエンスを追加する方法について説明します。 このサンプルは、 カスタム ポリシー スターター パックに含まれているポリシー ファイルに基づいています。

ユーザーが [パスワードを忘れた場合] を選択したことを示します。リンク

ユーザーが [ パスワードを忘れた 場合] リンクを選択したことをポリシーに示すには、ブール型要求を定義します。 要求を利用して、ユーザーのプロセスをパスワードを忘れた場合の技術プロファイルに誘導します。 要求はトークンに対して発行することもできます。そのため、アプリケーションは、パスワードを忘れたユーザー フローを使用してユーザーがサインインしたことを検出します。

要求スキーマで要求を宣言します。 ポリシーの拡張ファイル ( SocialAndLocalAccounts/TrustFrameworkExtensions.xmlなど) を開きます。

1. BuildingBlocks 要素を検索します。 要素が存在しない場合は、追加します。

2. ClaimsSchema 要素を見つけます。 要素が存在しない場合は、追加します。

3. ClaimsSchema 要素に次の要求を追加します。

   <!-- 
   <BuildingBlocks>
     <ClaimsSchema> -->
       <ClaimType Id="isForgotPassword">
         <DisplayName>isForgotPassword</DisplayName>
         <DataType>boolean</DataType>
         <AdminHelpText>Whether the user has selected Forgot your Password</AdminHelpText>
       </ClaimType>
     <!--
     </ClaimsSchema>
   </BuildingBlocks> -->
   

ページ レイアウトのバージョンをアップグレードする

サインアップまたはサインインの過程でセルフサービス パスワード リセット フローを有効にするには、ページ レイアウト バージョン 2.1.2 が必要です。 ページ レイアウトのバージョンをアップグレードするには:

1. ポリシーの基本ファイル ( SocialAndLocalAccounts/TrustFrameworkBase.xmlなど) を開きます。

2. BuildingBlocks 要素を検索します。 要素が存在しない場合は、追加します。

3. ContentDefinitions 要素を見つけます。 要素が存在しない場合は、追加します。

4. ContentDefinition 要素内の DataURI 要素を変更して、ID をapi.signuporsigninします。

   <!-- 
   <BuildingBlocks>
     <ContentDefinitions> -->
       <ContentDefinition Id="api.signuporsignin">
         <DataUri>urn:com:microsoft:aad:b2c:elements:contract:unifiedssp:2.1.2</DataUri>
       </ContentDefinition>
     <!-- 
     </ContentDefinitions>
   </BuildingBlocks> -->
   

技術プロファイルを追加する

要求変換技術プロファイルは、 isForgotPassword 要求にアクセスします。 技術プロファイルは後で参照されます。 呼び出されると、 isForgotPassword 要求の値が trueに設定されます。

1. ポリシーの拡張ファイル ( SocialAndLocalAccounts/TrustFrameworkExtensions.xmlなど) を開きます。
2. ClaimsProviders 要素を見つけて (要素が存在しない場合は作成します)、次のクレーム プロバイダーを追加します。

<!-- 
<ClaimsProviders> -->
  <ClaimsProvider>
    <DisplayName>Local Account</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="ForgotPassword">
        <DisplayName>Forgot your password?</DisplayName>
        <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.ClaimsTransformationProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null"/>
        <OutputClaims>
          <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="true" AlwaysUseDefaultValue="true"/>
        </OutputClaims>
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
      </TechnicalProfile>
      <TechnicalProfile Id="SelfAsserted-LocalAccountSignin-Email">
        <Metadata>
          <Item Key="setting.forgotPasswordLinkOverride">ForgotPasswordExchange</Item>
        </Metadata>
      </TechnicalProfile>
      <TechnicalProfile Id="LocalAccountWritePasswordUsingObjectId">
        <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
<!-- 
</ClaimsProviders> -->

SelfAsserted-LocalAccountSignin-Email 技術プロファイルの setting.forgotPasswordLinkOverride によって、ユーザー体験で実行されるパスワードのリセット要求の交換が定義されています。

LocalAccountWritePasswordUsingObjectId 技術プロファイル UseTechnicalProfileForSessionManagementSM-AAD セッション マネージャーは、ユーザーが SSO 条件下で後続のログインを正常に実行するために必要です。

パスワードリセットのサブプロセスを追加する

これで、ユーザーはサインインし、サインアップし、ユーザー体験でパスワードのリセットを実行できるようになりました。 ユーザー体験をより適切に整理するために、 サブ体験 を使用してパスワード リセット フローを処理できます。

サブ体験はユーザー体験から呼び出され、パスワード リセット エクスペリエンスをユーザーに提供する特定の手順を実行します。 サブ体験が完了すると、サブ体験を開始したオーケストレーション ステップに制御が返されるように、 Call タイプのサブ体験を使用します。

1. SocialAndLocalAccounts/TrustFrameworkExtensions.xmlなど、ポリシーの拡張ファイルを開きます。
2. SubJourneys 要素を検索します。 要素が存在しない場合は、 User Journeys 要素の後に追加します。 次に、次のサブ旅程を追加します。

<!--
<SubJourneys>-->
  <SubJourney Id="PasswordReset" Type="Call">
    <OrchestrationSteps>
      <!-- Validate user's email address. -->
      <OrchestrationStep Order="1" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="PasswordResetUsingEmailAddressExchange" TechnicalProfileReferenceId="LocalAccountDiscoveryUsingEmailAddress" />
        </ClaimsExchanges>
      </OrchestrationStep>

      <!-- Collect and persist a new password. -->
      <OrchestrationStep Order="2" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="NewCredentials" TechnicalProfileReferenceId="LocalAccountWritePasswordUsingObjectId" />
        </ClaimsExchanges>
      </OrchestrationStep>
    </OrchestrationSteps>
  </SubJourney>
<!--
</SubJourneys>-->

ユーザー体験を準備する

次に、パスワードを忘れたリンクをパスワードを忘れたサブジャーニーに接続するには、CombinedSignInAndSignUpステップのClaimsProviderSelection要素でパスワードを忘れたサブジャーニーIDを参照する必要があります。

CombinedSignInAndSignUp ステップを持つ独自のカスタム ユーザー体験がない場合は、次の手順を実行して、既存のサインアップまたはサインイン ユーザー体験を複製します。 それ以外の場合は、次のセクションに進みます。

1. スターター パックで、SocialAndLocalAccounts/TrustFrameworkBase.xmlなどの TrustFrameworkBase.xml ファイルを開きます。
2. を含む Id="SignUpOrSignIn" 要素の内容全体を検索してコピーします。
3. SocialAndLocalAccounts/TrustFrameworkExtensions.xml などのTrustFrameworkExtensions.xmlファイルを開き、UserJourneys 要素を見つけます。 要素が存在しない場合は、作成します。
4. 手順 2 でコピーした UserJourney 要素の内容全体を貼り付けることで 、UserJourneys 要素の子要素を作成します。
5. ユーザージャーニーのIDをリネームします。 たとえば、Id="CustomSignUpSignIn" のようにします。

パスワードを忘れた場合のリンクを、パスワードを忘れた場合のサブ体験に接続する

ユーザージャーニーでは、パスワードを忘れた場合のサブジャーニーを ClaimsProviderSelection として表すことができます。 この要素を追加すると、[ パスワードを忘れた場合] リンクを [パスワードを忘れた場合] サブ体験に接続できます。

1. SocialAndLocalAccounts/TrustFrameworkExtensions.xmlなどの TrustFrameworkExtensions.xml ファイルを開きます。

2. ユーザー体験で、 Type="CombinedSignInAndSignUp" または Type="ClaimsProviderSelection"を含むオーケストレーション ステップ要素を見つけます。 通常は、オーケストレーションの最初の手順です。 ClaimsProviderSelections 要素には、ユーザーがサインインに使用できる ID プロバイダーの一覧が含まれています。 次の行を追加します。

   <ClaimsProviderSelection TargetClaimsExchangeId="ForgotPasswordExchange" />
   

3. 次のオーケストレーション手順で、次の行を追加して ClaimsExchange 要素を追加します。

   <ClaimsExchange Id="ForgotPasswordExchange" TechnicalProfileReferenceId="ForgotPassword" />
   

4. 現在の手順と次の手順の間に、次のオーケストレーション ステップを追加します。 追加する新しいオーケストレーション 手順では、 isForgotPassword 要求が存在するかどうかを確認します。 請求がある場合は、パスワード リセット サブプロセスを呼び出します。

   <OrchestrationStep Order="3" Type="InvokeSubJourney">
     <Preconditions>
       <Precondition Type="ClaimsExist" ExecuteActionsIf="false">
         <Value>isForgotPassword</Value>
         <Action>SkipThisOrchestrationStep</Action>
       </Precondition>
     </Preconditions>
     <JourneyList>
       <Candidate SubJourneyReferenceId="PasswordReset" />
     </JourneyList>
   </OrchestrationStep>
   

5. 新しいオーケストレーション ステップを追加した後、1 から N までの整数をスキップせずに、ステップの番号を順番に変更します。

実行するユーザー体験を設定する

ユーザー体験を変更または作成したので、[ 証明書利用者 ] セクションで、このカスタム ポリシーに対して Azure AD B2C が実行する体験を指定します。

1. Relying Party 要素を含むファイル (SocialAndLocalAccounts/SignUpOrSignin.xml など) を開きます。

2. RelyingParty 要素で、DefaultUserJourney 要素を見つけます。

3. ClaimsProviderSelections を追加したユーザー体験の ID と一致するように、DefaultUserJourney ReferenceId を更新します。

<RelyingParty>
  <DefaultUserJourney ReferenceId="CustomSignUpSignIn" />
  ...
</RelyingParty>

アプリへのパスワードを忘れた場合のフローを示す

アプリケーションでは、ユーザーがパスワードを忘れたユーザー フローを使用してサインインしたかどうかを検出する必要がある場合があります。 isForgotPassword 要求には、それが行ったことを示すブール値が含まれています。 要求は、アプリケーションに送信されるトークンで発行できます。 必要に応じて、証明書利用者セクションの出力要求に isForgotPassword を追加します。 アプリケーションは isForgotPassword 要求を確認して、ユーザーが自分のパスワードをリセットしたかどうかを判断できます。

<RelyingParty>
  <OutputClaims>
    ...
    <OutputClaim ClaimTypeReferenceId="isForgotPassword" DefaultValue="false" />
  </OutputClaims>
</RelyingParty>

カスタム ポリシーをアップロードする

1. Azure portal にサインインします。
2. 複数のテナントにアクセスできる場合は、上部メニューの [設定] アイコンを選択して、[ ディレクトリ + サブスクリプション ] メニューから Azure AD B2C テナントに切り替えます。
3. Azure portal で、 [Azure AD B2C] を検索して選択します。
4. [ポリシー] の下 のメニューで、[ Identity Experience Framework] を選択します。
5. [ カスタム ポリシーのアップロード] を選択します。 次の順序で、変更したポリシー ファイルをアップロードします。
   1. ポリシーの基本ファイル (TrustFrameworkBase.xmlなど )。
   2. 拡張ポリシー (例: TrustFrameworkExtensions.xml。
   3. 証明書利用者ポリシー (例: SignUpSignIn.xml)。

パスワード リセット ユーザー フローを作成する

アプリケーション ユーザーが自分のパスワードをリセットできるようにするには、パスワード リセット ユーザー フローを作成します。

1. Azure portal で、Azure AD B2C テナントの概要に移動します。
2. 左側のメニューの [ ポリシー] で、[ ユーザー フロー] を選択し、[ 新しいユーザー フロー] を選択します。
3. [ ユーザー フローの作成] で、 パスワード リセット ユーザー フローを選択します。
4. [ バージョンの選択] で [ 推奨] を選択し、[ 作成] を選択します。
5. [名前] に、ユーザー フローの名前を入力します。 たとえば、 passwordreset1 です。
6. ID プロバイダーの場合は、ユーザー名を使用したパスワードのリセットまたは電子メール アドレスを使用したパスワードのリセットを有効にします。
7. [ 多要素認証] で、ユーザーに 2 つ目の認証方法を使用して ID の確認を要求する場合は、方法の種類と多要素認証を適用するタイミングを選択します。 詳細については、こちらを参照してください。
8. [条件付きアクセス] で、Azure AD B2C テナントの条件付きアクセス ポリシーを構成していて、それをこのユーザー フローで使用する場合は、[条件付きアクセス ポリシーの適用] チェック ボックスをオンにします。 ポリシー名を指定する必要はありません。 詳細については、こちらを参照してください。
9. [ アプリケーション要求] で、[ 詳細を表示] を選択します。 アプリケーションに返送される承認トークンで返される要求を選択します。 たとえば、[ ユーザーのオブジェクト ID] を選択します。
10. [OK] を選択.
11. [ 作成] を選択してユーザー フローを追加します。 B2C_1のプレフィックスが自動的に名前に追加されます。

ユーザー フローをテストする

ユーザー フローをテストするには:

1. 作成したユーザー フローを選択します。 ユーザー フローの概要ページで、 [ ユーザー フローの実行] を選択します。
2. [アプリケーション] で、テストする Web アプリケーション (前に登録した場合は webapp1 という名前のアプリケーションなど) を選択します。 応答 URL はhttps://jwt.msする必要があります。
3. [ ユーザー フローの実行] を選択し、パスワードをリセットするアカウントのメール アドレスを確認して、[ 続行] を選択します。
4. パスワードを変更し、[ 続行] を選択します。 トークンが https://jwt.ms に返され、ブラウザーに表示されます。

パスワード リセット ポリシーを作成する

カスタム ポリシーは、ユーザー体験を定義するために Azure AD B2C テナントにアップロードする XML ファイルのセットです。 サインアップとサインイン、パスワードのリセット、プロファイル編集ポリシーなど、事前構築済みのポリシーを持つ スターター パック が用意されています。 詳細については、「 Azure AD B2C でのカスタム ポリシーの概要」を参照してください。