Configurar um provedor de declarações personalizado para um evento de emissão de token

Registrar uma extensão de autenticação personalizada

1. Entre no portal do Azure como pelo menos um Administrador de Aplicativo e Administrador de Autenticação.
2. Procure e selecione Microsoft Entra ID e selecione Aplicações empresariais.
3. Selecione Extensões de autenticação personalizadas e, em seguida, selecione Criar uma extensão personalizada.
4. Em Noções básicas, selecione o tipo de evento TokenIssuanceStart e selecione Avançar.
5. Em Configuração do ponto final, preencha as seguintes propriedades:
   • Nome - Um nome para sua extensão de autenticação personalizada. Por exemplo, evento de emissão de token.
   • URL de destino - A {Function_Url} URL da sua função do Azure. Navegue até a página Visão geral do seu aplicativo Azure Function e selecione a função que você criou. Na página Visão geral da função, selecione Obter URL da função e use o ícone de cópia para copiar o URL customauthenticationextension_extension (chave do sistema).
   • Descrição - Uma descrição para suas extensões de autenticação personalizadas.
6. Selecione Seguinte.
7. Em Autenticação de API, selecione a opção Criar novo registro deaplicativo para criar um registro de aplicativo que represente seu aplicativo de função.
8. Dê um nome ao aplicativo, por exemplo , API de eventos de autenticação do Azure Functions.
9. Selecione Seguinte.
10. Em Declarações, insira os atributos que você espera que sua extensão de autenticação personalizada analise da sua API REST e serão mesclados no token. Adicione as seguintes declarações:
    • datadenascimento
    • customRoles
    • apiVersion
    • correlationId
11. Selecione Avançar e, em seguida , Criar, que registra a extensão de autenticação personalizada e o registro do aplicativo associado.
12. Observe a ID do Aplicativo em Autenticação de API, que é necessária para configurar a autenticação para sua Função do Azure em seu aplicativo do Azure Function.

Registar uma aplicação

1. Entre no Graph Explorer usando uma conta cujo locatário doméstico é o locatário no qual você deseja gerenciar sua extensão de autenticação personalizada. Essa conta deve ter privilégios para criar e gerenciar um registro de aplicativo no locatário.

2. Execute a seguinte solicitação.

   POST https://graph.microsoft.com/v1.0/applications
   Content-type: application/json
   
   {
       "displayName": "authenticationeventsAPI"
   }
   

3. A partir da resposta, registre o valor de id e appId do registro do aplicativo recém-criado. Esses valores são referenciados neste artigo como {authenticationeventsAPI_ObjectId} e {authenticationeventsAPI_AppId} respectivamente.

Crie uma entidade de serviço no locatário para o registro do aplicativo authenticationeventsAPI.

Enquanto estiver no Graph Explorer, execute a seguinte solicitação. Substitua {authenticationeventsAPI_AppId} pelo valor de appId que você registrou na etapa anterior.

POST https://graph.microsoft.com/v1.0/servicePrincipals
Content-type: application/json
    
{
    "appId": "{authenticationeventsAPI_AppId}"
}

Definir o URI da ID do aplicativo, a versão do token de acesso e o acesso necessário aos recursos

Atualize o aplicativo recém-criado para definir o valor de URI da ID do aplicativo, a versão do token de acesso e o acesso ao recurso necessário.

No Graph Explorer, execute a seguinte solicitação.

• Defina o valor de URI do ID do aplicativo na propriedade identifierUris . Substitua {Function_Url_Hostname} pelo nome do host do {Function_Url} que você gravou anteriormente.
• Defina o {authenticationeventsAPI_AppId} valor com o appId que você registrou anteriormente.
• Um exemplo de valor é api://authenticationeventsAPI.azurewebsites.net/00001111-aaaa-2222-bbbb-3333cccc4444. Anote esse valor, pois você o usará mais adiante neste artigo no lugar de {functionApp_IdentifierUri}.

POST https://graph.microsoft.com/v1.0/applications/{authenticationeventsAPI_ObjectId}
Content-type: application/json

{
"identifierUris": [
    "api://{Function_Url_Hostname}/{authenticationeventsAPI_AppId}"
],    
"api": {
    "requestedAccessTokenVersion": 2,
    "acceptMappedClaims": null,
    "knownClientApplications": [],
    "oauth2PermissionScopes": [],
    "preAuthorizedApplications": []
},
"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                "type": "Role"
            }
        ]
    }
]
}

Registrar uma extensão de autenticação personalizada

Para registrar a extensão de autenticação personalizada, associe-a ao registro do aplicativo para a Função do Azure e ao ponto de extremidade {Function_Url}da Função do Azure.

1. No Graph Explorer, execute a seguinte solicitação. Substitua {Function_Url} pelo nome do host do seu aplicativo Azure Function. Substitua {functionApp_IdentifierUri} pelo identifierUri usado na etapa anterior.

   • Você precisa da permissão delegada CustomAuthenticationExtension.ReadWrite.All .

   POST https://graph.microsoft.com/beta/identity/customAuthenticationExtensions
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtension",
       "displayName": "onTokenIssuanceStartCustomExtension",
       "description": "Fetch additional claims from custom user store",
       "endpointConfiguration": {
           "@odata.type": "#microsoft.graph.httpRequestEndpoint",
           "targetUrl": "{Function_Url}"
       },
       "authenticationConfiguration": {
           "@odata.type": "#microsoft.graph.azureAdTokenAuthentication",
           "resourceId": "{functionApp_IdentifierUri}"
       },
       "claimsForTokenConfiguration": [
           {
               "claimIdInApiResponse": "DateOfBirth"
           },
           {
               "claimIdInApiResponse": "CustomRoles"
           }
       ]
   }
   

2. Registre o id valor do objeto do provedor de declarações personalizado criado. Você usará o valor posteriormente neste tutorial no lugar de {customExtensionObjectId}.

Continue para a próxima etapa, Atribuir um provedor de declarações personalizado ao seu aplicativo.

3.4 Associar seu aplicativo a um fluxo de usuário

Para locatários externos, você precisa associar seu aplicativo a um fluxo de usuário. Um fluxo de usuário define os métodos de autenticação que um cliente pode usar para entrar em seu aplicativo e as informações que ele precisa fornecer durante a inscrição. Certifique-se de concluir as etapas em Adicionar um aplicativo a um fluxo de usuário antes de continuar a adicionar Meu aplicativo de teste ao fluxo de usuário.

Para atribuir a extensão de autenticação personalizada como uma fonte de provedor de declarações personalizada;

1. Na página inicial do portal do Azure, selecione Microsoft Entra ID.

2. SelecioneAplicativos corporativos e, em Gerenciar, selecione Todos os aplicativos. Localize e selecione Meu aplicativo de teste na lista.

3. Na página Visão geral do aplicativo Meu teste, navegue até Gerenciar e selecione Logon único.

4. Em Atributos & Declarações, selecione Editar.

   

5. Expanda o menu Configurações avançadas .

6. Ao lado de Provedor de declarações personalizado, selecione Configurar.

7. Expanda a caixa suspensa Provedor de declarações personalizado e selecione o evento de emissão de token criado anteriormente.

8. Selecione Guardar.

Em seguida, atribua os atributos do provedor de declarações personalizadas, que devem ser emitidos no token como declarações:

1. Selecione Adicionar nova declaração para adicionar uma nova declaração. Forneça um nome para a declaração que você deseja emitir, por exemplo , dateOfBirth.

2. Em Source, selecione Attribute e escolha customClaimsProvider.dateOfBirth na caixa suspensa Source attribute .

   

3. Selecione Guardar.

4. Repita esse processo para adicionar os atributos customClaimsProvider.customRoles, customClaimsProvider.apiVersion e customClaimsProvider.correlationId e o nome correspondente. É uma boa ideia fazer corresponder o nome da declaração ao nome do atributo.

Primeiro, crie um ouvinte de eventos para disparar uma extensão de autenticação personalizada para o aplicativo My Test usando o evento de início de emissão de token.

1. Entre no Graph Explorer usando uma conta cujo locatário residencial é o locatário no qual você deseja gerenciar sua extensão de autenticação personalizada.

2. Execute a seguinte solicitação. Substitua {App_to_enrich_ID} pelo ID do aplicativo My Test gravado anteriormente. Substitua {customExtensionObjectId} pelo ID da extensão de autenticação personalizada registrada anteriormente.

   • Você precisa da permissão delegada EventListener.ReadWrite.All .

   POST https://graph.microsoft.com/beta/identity/authenticationEventListeners
   Content-type: application/json
   
   {
       "@odata.type": "#microsoft.graph.onTokenIssuanceStartListener",
       "conditions": {
           "applications": {
               "includeAllApplications": false,
               "includeApplications": [
                   {
                       "appId": "{App_to_enrich_ID}"
                   }
               ]
           }
       },
       "priority": 500,
       "handler": {
           "@odata.type": "#microsoft.graph.onTokenIssuanceStartCustomExtensionHandler",
           "customExtension": {
               "id": "{customExtensionObjectId}"
           }
       }
   }
   

Em seguida, crie a política de mapeamento de declarações, que descreve quais declarações podem ser emitidas para um aplicativo de um provedor de declarações personalizado.

1. Ainda no Graph Explorer, execute a seguinte solicitação. Você precisará da permissão delegada Policy.ReadWrite.ApplicationConfiguration .

   POST https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies
   Content-type: application/json
   
   {
       "definition": [
           "{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\",\"ClaimsSchema\":[{\"Source\":\"CustomClaimsProvider\",\"ID\":\"DateOfBirth\",\"JwtClaimType\":\"dob\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CustomRoles\",\"JwtClaimType\":\"my_roles\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"CorrelationId\",\"JwtClaimType\":\"correlationId\"},{\"Source\":\"CustomClaimsProvider\",\"ID\":\"ApiVersion\",\"JwtClaimType\":\"apiVersion \"},{\"Value\":\"tokenaug_V2\",\"JwtClaimType\":\"policy_version\"}]}}"
       ],
       "displayName": "MyClaimsMappingPolicy",
       "isOrganizationDefault": false
   }
   

2. Registre o ID gerado na resposta, mais tarde é referido como {claims_mapping_policy_ID}.

Obtenha o ID do objeto principal do serviço:

1. Execute a seguinte solicitação no Graph Explorer. Substitua {App_to_enrich_ID} pelo appId de Meu aplicativo de teste.

   GET https://graph.microsoft.com/v1.0/servicePrincipals(appId='{App_to_enrich_ID}')
   

Registre o valor de id.

Atribua a política de mapeamento de declarações à entidade de serviço de Meu Aplicativo de Teste.

1. Execute a seguinte solicitação no Graph Explorer. Você precisará da permissão delegada Policy.ReadWrite.ApplicationConfiguration e Application.ReadWrite.All .

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{test_App_Service_Principal_ObjectId}/claimsMappingPolicies/$ref
   Content-type: application/json
   
   {
       "@odata.id": "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/{claims_mapping_policy_ID}"
   }
   

1. No portal do Azure, localize e selecione o aplicativo de função que você publicou anteriormente.

2. Em Configurações, selecione Autenticação.

3. Selecione Adicionar provedor de identidade.

4. Selecione Microsoft como o provedor de identidade.

5. Selecione Força de trabalho como o tipo de locatário.

6. Em Registro de aplicativo, selecione Escolher um registro de aplicativo existente neste diretório para o tipo de registro de aplicativo e escolha o registro de aplicativo de API de eventos de autenticação do Azure Functions que você criou anteriormente ao registrar o provedor de declarações personalizado.

7. Insira o seguinte URL do emissor, https://login.microsoftonline.com/{tenantId}/v2.0, onde {tenantId} é o ID do locatário do seu locatário da força de trabalho.

8. Em Requisito de aplicativo cliente, selecione Permitir solicitações de aplicativos cliente específicos e insira 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Em Requisito de locatário, selecione Permitir solicitações de locatários específicos e insira o ID do locatário da força de trabalho.

10. Em Solicitações não autenticadas, selecione HTTP 401 Não autorizado como o provedor de identidade.

11. Desmarque a opção Loja de tokens.

12. Selecione Adicionar para adicionar autenticação à sua Função do Azure.

    

1. No portal do Azure, localize e selecione o aplicativo de função que você publicou anteriormente.

2. Em Configurações, selecione Autenticação.

3. Selecione Adicionar provedor de identidade.

4. Selecione Microsoft como o provedor de identidade.

5. Selecione Configuração externa como o tipo de locatário.

6. Em Registro de aplicativo, selecione Fornecer os detalhes de um registro de aplicativo existente para o tipo de registro de aplicativo e insira o client_id registro do aplicativo de API de eventos de autenticação do Azure Functions que você criou anteriormente ao registrar o provedor de declarações personalizado.

7. Para o URL do emissor, insira o seguinte URL https://{domainName}.ciamlogin.com/{tenant_id}/v2.0, onde

   • {domainName} é o nome de domínio do seu locatário externo, no formato {domainName}.contoso.com.
   • {tenantId} é o ID do inquilino do seu inquilino externo.

8. Em Requisito de aplicativo cliente, selecione Permitir solicitações de aplicativos cliente específicos e insira 99045fe1-7639-4a75-9d4a-577b6ca3810f.

9. Em Requisito de locatário, selecione Permitir solicitações de locatários específicos e insira sua ID de locatário externo.

10. Em Solicitações não autenticadas, selecione HTTP 401 Não autorizado como o provedor de identidade.

11. Desmarque a opção Loja de tokens.

12. Selecione Adicionar para adicionar autenticação à sua Função do Azure.

    

1. Abra um novo navegador privado e navegue e inicie sessão através do seguinte URL.

   https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Substitua {tenantId} pelo seu ID de inquilino, nome de inquilino ou um dos seus nomes de domínio verificados. Por exemplo, contoso.onmicrosoft.com.

3. Substitua {App_to_enrich_ID} pelo ID do cliente do aplicativo My Test.

4. Depois de iniciar sessão, ser-lhe-á apresentado o seu token descodificado em https://jwt.ms. Valide se as declarações da Função do Azure são apresentadas no token decodificado, por exemplo, dateOfBirth.

1. Abra um novo navegador privado e navegue e inicie sessão através do seguinte URL.

   https://{domainName}.ciamlogin.com/{tenantId}/oauth2/v2.0/authorize?client_id={App_to_enrich_ID}&response_type=id_token&redirect_uri=https://jwt.ms&scope=openid&state=12345&nonce=12345
   

2. Substitua {domainName} pelo seu nome de domínio, por exemplo, contoso.

3. Substitua {tenantId} pelo seu ID de inquilino, nome de inquilino ou um dos seus nomes de domínio verificados. Por exemplo, contoso.onmicrosoft.com.

4. Substitua {App_to_enrich_ID} pelo ID do cliente do aplicativo My Test.

5. Percorra o fluxo de usuário de entrada que você configurou e aceite as permissões solicitadas.

6. Depois de iniciar sessão, ser-lhe-á apresentado o seu token descodificado em https://jwt.ms. Valide se as declarações da Função do Azure são apresentadas no token decodificado, por exemplo, dateOfBirth.