Azure AD B2C を使用して iOS Swift アプリで認証オプションを有効にする

2025-05-07

重要

2025 年 5 月 1 日より、Azure AD B2C は新規のお客様向けに購入できなくなります。詳細については、FAQ を参照してください。

この記事では、iOS Swift アプリケーションの Azure Active Directory B2C (Azure AD B2C) 認証エクスペリエンスを有効、カスタマイズ、および強化する方法について説明します。

開始する前に、次の記事を理解しておいてください。

カスタムドメインの使用

カスタムドメインを使用すると、認証 URL を完全にブランド化できます。ユーザーの観点からは、ユーザーは Azure AD B2C b2clogin.com ドメイン名にリダイレクトされるのではなく、認証プロセス中もドメインに残ります。

URL 内の "b2c" へのすべての参照を削除するには、認証要求 URL の B2C テナント名 (contoso.onmicrosoft.com) をテナント ID GUID に置き換えることもできます。たとえば、 https://fabrikamb2c.b2clogin.com/contoso.onmicrosoft.com/ を https://account.contosobank.co.uk/<tenant ID GUID>/ に変更できます。

認証 URL でカスタムドメインとテナント ID を使用するには、次の操作を行います。

「カスタムドメインを有効にする」のガイダンスに従います。
kAuthorityHostName クラスメンバーをカスタムドメインで更新します。
kTenantName クラスメンバーをテナント ID で更新します。

次の Swift コードは、変更前のアプリ設定を示しています。

let kTenantName = "contoso.onmicrosoft.com" 
let kAuthorityHostName = "contoso.b2clogin.com"

次の Swift コードは、変更後のアプリ設定を示しています。

let kTenantName = "00000000-0000-0000-0000-000000000000" 
let kAuthorityHostName = "login.contoso.com"

サインインユーザー体験中に、アプリが特定のユーザーをターゲットにしている可能性があります。アプリがユーザーを対象とする場合は、承認要求で、ユーザーのサインイン名を使用して login_hint クエリパラメーターを指定できます。 Azure AD B2C によってサインイン名が自動的に設定され、ユーザーはパスワードのみを指定する必要があります。

サインイン名を事前に入力するには、次の操作を行います。

カスタムポリシーを使用している場合は、「直接サインインの設定」の説明に従って、必要な入力要求を追加します。
Microsoft Authentication Library (MSAL) 構成オブジェクトを探し、ログインヒントを使用して withLoginHint() メソッドを追加します。

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.loginHint = "bob@contoso.com"
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

ID プロバイダーを事前選択する

Facebook、LinkedIn、Google などのソーシャルアカウントを含むようにアプリケーションのサインイン体験を構成した場合は、 domain_hint パラメーターを指定できます。このクエリパラメーターは、サインインに使用するソーシャル ID プロバイダーに関するヒントを Azure AD B2C に提供します。たとえば、アプリケーションが domain_hint=facebook.comを指定した場合、サインインフローは Facebook サインインページに直接移動します。

ユーザーを外部 ID プロバイダーにリダイレクトするには、次の操作を行います。

外部 ID プロバイダーのドメイン名を確認します。詳細については、「サインインをソーシャルプロバイダーにリダイレクトする」を参照してください。
既存のリストオブジェクトを作成または使用して、追加のクエリパラメーターを格納します。
対応するドメイン名を持つ domain_hint パラメーターを一覧に追加します (例: facebook.com)。
追加のクエリパラメーターリストを MSAL 構成オブジェクトの extraQueryParameters 属性に渡します。

let extraQueryParameters: [String: String] = ["domain_hint": "facebook.com"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

UI 言語を指定する

Azure AD B2C での言語のカスタマイズにより、ユーザーフローは顧客のニーズに合わせてさまざまな言語に対応できます。詳細については、「言語のカスタマイズ」を参照してください。

優先する言語を設定するには、次の操作を行います。

言語のカスタマイズを構成します。
既存のリストオブジェクトを作成または使用して、追加のクエリパラメーターを格納します。
対応する言語コードを含む ui_locales パラメーターを一覧に追加します (例: en-us)。
追加のクエリパラメーターリストを MSAL 構成オブジェクトの extraQueryParameters 属性に渡します。

let extraQueryParameters: [String: String] = ["ui_locales": "en-us"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

カスタムクエリ文字列パラメーターを渡す

カスタムポリシーでは、カスタムクエリ文字列パラメーターを渡すことができます。適切なユースケースの例として、ページコンテンツを動的に変更する場合があります。

カスタムクエリ文字列パラメーターを渡すには、次の操作を行います。

ContentDefinitionParameters 要素を構成します。
既存のリストオブジェクトを作成または使用して、追加のクエリパラメーターを格納します。
campaignIdなどのカスタムクエリ文字列パラメーターを追加します。パラメーター値 (たとえば、 germany-promotion) を設定します。
追加のクエリパラメーターリストを MSAL 構成オブジェクトの extraQueryParameters 属性に渡します。

let extraQueryParameters: [String: String] = ["campaignId": "germany-promotion"]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

ID トークンヒントを渡す

証明書利用者アプリケーションは、OAuth2 承認要求の一部として受信 JSON Web トークン (JWT) を送信できます。受信トークンは、ユーザーまたは承認要求に関するヒントです。 Azure AD B2C はトークンを検証し、要求を抽出します。

認証要求に ID トークンヒントを含めるには、次の操作を行います。

カスタムポリシーで、 ID トークンヒント技術プロファイルを定義します。
コードで ID トークンを生成または取得し、トークンを変数 ( idToken など) に設定します。
既存のリストオブジェクトを作成または使用して、追加のクエリパラメーターを格納します。
ID トークンを格納する対応する変数を使用して、 id_token_hint パラメーターを追加します。
追加のクエリパラメーターリストを MSAL 構成オブジェクトの extraQueryParameters 属性に渡します。

let extraQueryParameters: [String: String] = ["id_token_hint": idToken]

let parameters = MSALInteractiveTokenParameters(scopes: kScopes, webviewParameters: self.webViewParameters!)
parameters.promptType = .selectAccount
parameters.authority = authority
parameters.extraQueryParameters = extraQueryParameters
// More settings here

applicationContext.acquireToken(with: parameters) { (result, error) in
...

ログの設定

MSAL ライブラリは、問題の診断に役立つログメッセージを生成します。アプリはログ記録を構成できます。アプリでは、詳細レベルと、個人データと組織データをログに記録するかどうかをカスタムで制御することもできます。

MSAL ログコールバックを作成し、ユーザーが認証に問題がある場合にログを送信する方法を提供することをお勧めします。 MSAL では、次のレベルのログの詳細が提供されます。

エラー: 問題が発生し、エラーが生成されました。このレベルは、問題のデバッグと特定に使用されます。
警告: 必ずしもエラーやエラーが発生したわけではありませんが、情報は診断と問題の特定を目的としています。
情報: MSAL では、情報提供を目的としたイベントがログに記録され、必ずしもデバッグ用とは限りません。
詳細: これが既定のレベルです。 MSAL は、ライブラリの動作の詳細をログに記録します。

既定では、MSAL ロガーは個人または組織のデータをキャプチャしません。ライブラリには、個人データと組織データのログ記録を有効にするオプションがあります (これを行う場合)。

MSAL ロガーは、MSAL 要求が行われる前に、アプリの起動シーケンスでできるだけ早く設定する必要があります。 AppDelegate.swift メソッドで MSAL application構成します。

次のコードスニペットは、MSAL ログを構成する方法を示しています。

func application(_ application: UIApplication, didFinishLaunchingWithOptions launchOptions: [UIApplication.LaunchOptionsKey: Any]?) -> Bool {
        
        MSALGlobalConfig.loggerConfig.logLevel = .verbose
        MSALGlobalConfig.loggerConfig.setLogCallback { (logLevel, message, containsPII) in
            
            // If PiiLoggingEnabled is set YES, this block will potentially contain sensitive information (Personally Identifiable Information), but not all messages will contain it.
            // containsPII == YES indicates if a particular message contains PII.
            // You might want to capture PII only in debug builds, or only if you take necessary actions to handle PII properly according to legal requirements of the region
            if let displayableMessage = message {
                if (!containsPII) {
                    #if DEBUG
                    // NB! This sample uses print just for testing purposes
                    // You should only ever log to NSLog in debug mode to prevent leaking potentially sensitive information
                    print(displayableMessage)
                    #endif
                }
            }
        }
        return true
    }

埋め込み Web ビューエクスペリエンス

対話型認証には Web ブラウザーが必要です。既定では、MSAL ライブラリはシステム Web ビューを使用します。サインイン中に、MSAL ライブラリによって、Azure AD B2C ユーザーインターフェイスを使用して iOS システム Web ビューがポップアップ表示されます。

詳細については、 iOS/macOS 用のブラウザーと WebView のカスタマイズに関する記事を参照してください。

要件に応じて、埋め込み Web ビューを使用できます。 MSAL の埋め込み Web ビューとシステム Web ビューには、ビジュアルとシングルサインオンの動作の違いがあります。

システム Web ビューエクスペリエンスと埋め込み Web ビューエクスペリエンスの違いを示すスクリーンショット。

重要

プラットフォームの既定値 (通常はシステムブラウザー) を使用することをお勧めします。システムブラウザーは、以前にログインしたユーザーを記憶する方が優れています。 Google などの一部の ID プロバイダーでは、埋め込みビューエクスペリエンスがサポートされていません。

この動作を変更するには、webviewTypeのMSALWebviewParameters属性をwkWebViewに変更します。次の例では、Web ビューの種類を埋め込みビューに変更する方法を示します。

func initWebViewParams() {
    self.webViewParameters = MSALWebviewParameters(authPresentationViewController: self)
    
    // Use embedded view experience
    self.webViewParameters?.webviewType = .wkWebView
}

次のステップ

詳細については、 MSAL for iOS Swift の構成オプションに関するページを参照してください。

次の方法で共有

Azure AD B2C を使用して iOS Swift アプリで認証オプションを有効にする

カスタム ドメインの使用

サインイン名を事前に入力する

ID プロバイダーを事前選択する

UI 言語を指定する

カスタム クエリ文字列パラメーターを渡す

ID トークン ヒントを渡す

ログの設定

埋め込み Web ビュー エクスペリエンス

次のステップ

フィードバック

その他のリソース

カスタムドメインの使用

カスタムクエリ文字列パラメーターを渡す

ID トークンヒントを渡す

埋め込み Web ビューエクスペリエンス