Azure B2C - 将查询参数接受到 OAuth2 JWT 中

Question

我很好奇在通过 Azure 请求 OAuth2 token 时是否可以读取查询参数？

本质上，当使用我创建的策略进行测试调用时，我希望从调用中读取额外的查询参数，并且编排(用户旅程)步骤应该读取这些值并将该值注入(inject)到自定义声明中(对于 JWT 或 ID token )。

我从以下链接得知 Azure B2C 服务可能*可行？但我找不到任何好的具体例子。

Sign-up policy - Set user attributes through code

Add Custom Attribute Not Used in Sign-Up nor Edit Policy

How can I return the PolicyId Claim after executing my Custom SignUpSignIn policy?

How do i include email in the redirect to AZURE AD B2C

然后我继续尝试了一系列配置，但有太多选项可供选择，我不知道该选择哪个。此外，我还没有找到任何描述配置这些策略时使用的选项的 Azure 文档。无论如何，这就是我所拥有的。

我从 here 下载了 TrustFrameworkBase.xml 和 TrustFrameworkExtensions.xml 。我从这个Azure doc得到了这个Github链接，我还按照设置策略 key 的步骤进行操作，并添加了具有委派权限的应用程序注册。对于我的依赖方配置，我只是通过 Azure B2C 门户制定了自定义策略并下载它作为起点，以探索它的基本形式。

这是添加到 ClaimsSchema 标记内的基本策略中的自定义声明。 Extension_Test 是我想要从查询参数注入(inject)值的声明:

  <ClaimType Id="extension_Test">
    <DisplayName>Test value</DisplayName>
    <DataType>string</DataType>
    <DefaultPartnerClaimTypes>
      <Protocol Name="OAuth2" PartnerClaimType="extension_Test" />
      <Protocol Name="OpenIdConnect" PartnerClaimType="extension_Test" />
    </DefaultPartnerClaimTypes>
    <UserInputType>Readonly</UserInputType>
  </ClaimType>
</ClaimsSchema>

在同一基本策略中，这是我为登录添加的用户旅程:

<UserJourney Id="SignIn">
        <OrchestrationSteps>
            <OrchestrationSteps>
            <!-- The following orchestration step is always executed. -->
            <OrchestrationStep Order="1" Type="ClaimsProviderSelection" ContentDefinitionReferenceId="api.idpselection.signupsignin">
                <ClaimsProviderSelections>
                    <ClaimsProviderSelection TargetClaimsExchangeId="LocalAccountRegistrationExchange" />
                </ClaimsProviderSelections>
            </OrchestrationStep>
            <OrchestrationStep Order="2" Type="ClaimsExchange">
              <ClaimsExchanges>
                <ClaimsExchange Id="LocalAccountRegistrationExchange" TechnicalProfileReferenceId="LocalAccount-Registration-VerifiedEmail" />
              </ClaimsExchanges>
            </OrchestrationStep>
            <OrchestrationStep Order="3" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
        </OrchestrationSteps>

    </UserJourney>

这是我的依赖配置 XML:

 <RelyingParty>
    <DefaultUserJourney ReferenceId="SignIn" />
    <TechnicalProfile Id="PolicyProfile">
      <DisplayName>PolicyProfile</DisplayName>
      <Protocol Name="OpenIdConnect" />
      <InputClaims>
        <InputClaim ClaimTypeReferenceId="extension_Test" />
      </InputClaims>
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="displayName" />
        <OutputClaim ClaimTypeReferenceId="givenName" />
        <OutputClaim ClaimTypeReferenceId="surname" />
        <OutputClaim ClaimTypeReferenceId="extension_Test" />
        <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub" />
      </OutputClaims>
      <SubjectNamingInfo ClaimType="sub" />
    </TechnicalProfile>
  </RelyingParty>

我认为按顺序上传了基础、扩展和 RP 策略 XML 文件。我发送的 GET 请求如下所示(从自定义策略的“立即运行”按钮获取):

https://login.microsoftonline.com/<TENANT>/oauth2/v2.0/authorize?p=B2C_1A_test&client_id=<TENANTID>&nonce=defaultNonce&redirect_uri=http%3A%2F%2Flocalhost%2Fredirect&scope=openid&response_type=id_token&prompt=login&extension_Test=aaa

任何帮助将不胜感激，谢谢!或者解释这些配置文件中更多选项的 Azure 文档 - 例如 CpimIssuerTechnicalProfileReferenceId="JwtIssuer"是什么意思？或者AzureFunction-WrapWebHook是什么意思？

Answer 1

你已经很接近了。

可以在 this "Implementing an invitation flow" document 中找到向旅程输入声明、然后在该旅程中使用它(例如前提条件或存储)以及从旅程中输出它的端到端示例。 (我是该书的作者)。

高级解决方案是:

1) 在设计时，使用输入声明配置依赖方策略。

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <InputTokenFormat>JWT</InputTokenFormat>
    <CryptographicKeys>
      <Key Id="client_secret" StorageReferenceId="B2C_1A_MySharedSecret" />
    </CryptographicKeys>
    <InputClaims>
      <InputClaim ClaimTypeReferenceId="extension_Test" />
    </InputClaims>
    <OutputClaims>
      ...
      <OutputClaim ClaimTypeReferenceId="extension_Test" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
  </TechnicalProfile>
</RelyingParty>

您必须创建一个策略 key (在上面的示例中，这称为“MySharedSecret”，但它可以被称为任何名称)，其中包含调用此策略的应用程序已知的共享 key (其中客户端 key 为此应用程序可以是此共享 secret )。

2) 在运行时，创建一个包含输入声明的自发行 JWT，使用共享 key 签署此 JWT，然后使用“client_assertion_type”和“client_assertion”参数将 JWT 添加到身份验证请求。

此代码示例可以在 the Wingtip sample 中找到。 .

身份验证请求的示例是:

https://login.microsoftonline.com/b2ctechready.onmicrosoft.com/oauth2/v2.0/authorize?p=b2c_1a_invitation&...&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-类型%3Ajwt-bearer&client_assertion=eyJhbGci...7m9s&state=CfDJ8EPk...Et0w