Azure Active Directory B2C でトークンを構成する

• ユーザーが サインアップしてアプリケーションにサインインできるように、ユーザー フローを作成します。
• Web アプリケーションを登録します。

• 「Active Directory B2C でのカスタム ポリシーの概要」の手順を完了してください。 このチュートリアルでは、Azure AD B2C テナント構成を使用するようにカスタム ポリシー ファイルを更新する方法について説明します。
• Web アプリケーションを登録します。

ユーザー フロー トークンの有効期間を構成するには:

1. Azure portal にサインインします。
2. 複数のテナントにアクセスできる場合、上部のメニューの [設定] アイコンを選択し、[ディレクトリとサブスクリプション] メニューからお使いの Azure AD B2C テナントに切り替えます。
3. Azure portal の左上隅にある [すべてのサービス] を選択してから、[Azure AD B2C] を検索して選択します。
4. [ユーザー フロー (ポリシー)]を選択します。
5. 前に作成したユーザー フローを開きます。
6. [プロパティ] を選択します。
7. [ トークンの有効期間] で、アプリケーションのニーズに合わせてプロパティを調整します。
8. 保存 を選択します。

トークンの互換性の設定を変更するには、拡張機能で トークン発行者 の技術プロファイル メタデータ、または影響を与えるポリシーの証明書利用者ファイルを設定します。 トークン発行者の技術プロファイルは、次の例のようになります。

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          <Item Key="token_lifetime_secs">3600</Item>
          <Item Key="id_token_lifetime_secs">3600</Item>
          <Item Key="refresh_token_lifetime_secs">1209600</Item>
          <Item Key="rolling_refresh_token_lifetime_secs">7776000</Item>
          <!--<Item Key="allow_infinite_rolling_refresh_token">true</Item>-->
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

前の例では、次の値が設定されています。

• token_lifetime_secs - アクセス トークンの有効期間 (秒)。 既定値は 3,600 (1 時間) です。 最小値は 300 (5 分) です。 最大値は 86,400 (24 時間) です。
• id_token_lifetime_secs - ID トークンの有効期間 (秒)。 既定値は 3,600 (1 時間) です。 最小値は 300 (5 分) です。 最大値は 86,400 (24 時間) です。
• refresh_token_lifetime_secs 更新トークンの有効期間 (秒)。 既定値は 1,209,600 (14 日) です。 最小値は 86,400 (24 時間) です。 最大値は 7,776,000 (90 日) です。
• rolling_refresh_token_lifetime_secs - 更新トークンスライディング ウィンドウの有効期間 (秒)。 既定値は 7,776,000 (90 日) です。 最小値は 86,400 (24 時間) です。 最大値は 31,536,000 (365 日) です。 スライディング ウィンドウの有効期間を適用しない場合は、 allow_infinite_rolling_refresh_token の値を true に設定します。
• allow_infinite_rolling_refresh_token - 更新トークン のスライディング ウィンドウの有効期間は期限切れになりません。

ユーザー フローの互換性設定を構成するには:

1. [ユーザー フロー (ポリシー)]を選択します。
2. 前に作成したユーザー フローを開きます。
3. [プロパティ] を選択します。
4. [ トークンの互換性設定] で、アプリケーションのニーズに合わせてプロパティを調整します。
5. 保存 を選択します。

トークンの互換性の設定を変更するには、拡張機能で トークン発行者 の技術プロファイル メタデータ、または更新するポリシーの証明書利用者ファイルを設定します。 トークン発行者の技術プロファイルは、次の例のようになります。

<ClaimsProviders>
  <ClaimsProvider>
    <DisplayName>Token Issuer</DisplayName>
    <TechnicalProfiles>
      <TechnicalProfile Id="JwtIssuer">
        <Metadata>
          ...
          <Item Key="IssuanceClaimPattern">AuthorityAndTenantGuid</Item>
          <Item Key="AuthenticationContextReferenceClaimPattern">None</Item>
        </Metadata>
      </TechnicalProfile>
    </TechnicalProfiles>
  </ClaimsProvider>
</ClaimsProviders>

• 発行者 (iss) 要求 - 発行者 (iss) 要求は 、IssuanceClaimPattern メタデータ項目で設定されます。 適用可能な値は、 AuthorityAndTenantGuid と AuthorityWithTfpです。

• ポリシー ID を表す要求の設定 - この値を設定するためのオプションは、 TFP (信頼フレームワーク ポリシー) と ACR (認証コンテキスト参照) です。 TFP は推奨値です。 AuthenticationContextReferenceClaimPattern を None の値で設定します。

  ClaimsSchema 要素に次の要素を追加します。

  <ClaimType Id="trustFrameworkPolicy">
    <DisplayName>Trust framework policy name</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

  証明書利用者ポリシーの OutputClaims 要素で、次の出力要求を追加します。

  <OutputClaim ClaimTypeReferenceId="trustFrameworkPolicy" Required="true" DefaultValue="{policy}" PartnerClaimType="tfp" />
  

  ACR の場合は、 AuthenticationContextReferenceClaimPattern 項目を 削除します。

• サブジェクト (サブ) 要求 - このオプションの既定値は ObjectID です。この設定を Not Supportedに切り替える場合は、次の行を置き換えます。

  <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
  

  置き換えた後の行:

  <OutputClaim ClaimTypeReferenceId="sub" />
  

1. [ユーザー フロー (ポリシー)]を選択します。
2. 前に作成したユーザー フローを開きます。
3. [ アプリケーション要求] を選択します。
4. アプリケーションに返送する要求と属性を選択します。
5. 保存 を選択します。

証明書利用者ポリシーの技術プロファイル出力要求は、アプリケーションに返される値です。 出力要求を追加すると、ユーザー体験が成功した後に要求がトークンに発行され、アプリケーションに送信されます。 証明書利用者セクション内の技術プロファイル要素を変更して、目的の要求を出力要求として追加します。

1. カスタム ポリシー ファイルを開きます。 たとえば、SignUpOrSignin.xmlします。
2. OutputClaims 要素を見つけます。 トークンに含める OutputClaim を追加します。
3. 出力要求属性を設定します。

次の例では、 accountBalance 要求を追加します。 accountBalance 要求は、残高としてアプリケーションに送信されます。

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
      <OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />
      <!--Add the optional claims here-->
      <OutputClaim ClaimTypeReferenceId="accountBalance" DefaultValue="" PartnerClaimType="balance" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

OutputClaim 要素には、次の属性が含まれています。

• ClaimTypeReferenceId - ポリシー ファイルまたは親ポリシー ファイルの ClaimsSchema セクションで既に定義されている要求の種類の識別子。
• PartnerClaimType - トークン内の要求の名前を変更できます。
• DefaultValue - 既定値。 テナント ID などの 要求リゾルバーに既定値を設定することもできます。
• AlwaysUseDefaultValue - 既定値を強制的に使用します。