azure - Multi-Tenancy Azure B2C登录-如何获取外部用户电子邮件地址

Question

我正在努力弄清楚如何配置 Azure B2C 进行 Multi-Tenancy 身份验证，特别是访问通过外部 Azure AD 登录的用户的电子邮件地址(我们有兴趣允许我们的客户通过“本地帐户”(电子邮件地址，由 B2C 管理)或他们自己的 Azure AD 登录。

我试图解决的问题的一个关键部分是将登录用户的电子邮件地址传递到 REST 端点，我们的应用程序需要在内部执行一些操作以注入(inject)其他应用程序特定的声明，这些声明稍后会使用。除了我们的 REST 端点接收电子邮件地址之外，其他一切都正常。

我有一个“通用 AAD”技术配置文件设置，如下所示:

<TechnicalProfile Id="Common-AAD">
    <DisplayName>Work Account</DisplayName>
    <Description>Login with your Work Account</Description>
    <Protocol Name="OpenIdConnect"/>
    <Metadata>
    <Item Key="METADATA">https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration</Item>
    <Item Key="client_id">my_client_id</Item>
    <Item Key="response_types">code</Item>
    <Item Key="scope">openid email profile</Item>
    <Item Key="response_mode">form_post</Item>
    <Item Key="HttpBinding">POST</Item>
    <Item Key="UsePolicyInRedirectUri">false</Item>
    <Item Key="DiscoverMetadataByTokenIssuer">true</Item>
    <Item Key="ValidTokenIssuerPrefixes">https://login.microsoftonline.com/</Item>
    </Metadata>
    <CryptographicKeys>
    <Key Id="client_secret" StorageReferenceId="B2C_1A_AADAppSecret"/>
    </CryptographicKeys>
    <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="issuerUserId" PartnerClaimType="oid"/>
    <OutputClaim ClaimTypeReferenceId="tenantId" PartnerClaimType="tid"/>
    <OutputClaim ClaimTypeReferenceId="givenName" PartnerClaimType="given_name" />
    <OutputClaim ClaimTypeReferenceId="surName" PartnerClaimType="family_name" />
    <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="name" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="socialIdpAuthentication" AlwaysUseDefaultValue="true" />
    <OutputClaim ClaimTypeReferenceId="identityProvider" PartnerClaimType="iss" />
    <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
    <OutputClaim ClaimTypeReferenceId="signInName" />
    <OutputClaim ClaimTypeReferenceId="otherMails" />
    <OutputClaim ClaimTypeReferenceId="signInNames.emailAddress" />
    <OutputClaim ClaimTypeReferenceId="upn" PartnerClaimType="upn" />
    </OutputClaims>
    <OutputClaimsTransformations>
    <OutputClaimsTransformation ReferenceId="CreateRandomUPNUserName"/>
    <OutputClaimsTransformation ReferenceId="CreateUserPrincipalName"/>
    <OutputClaimsTransformation ReferenceId="CreateAlternativeSecurityId"/>
    <OutputClaimsTransformation ReferenceId="CreateSubjectClaimFromAlternativeSecurityId"/>
    </OutputClaimsTransformations>
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin"/>
</TechnicalProfile>

在编排中，我指示 B2C 将一堆这些声明传递给应用程序托管的 REST API，以便我们可以进行内部处理:

<TechnicalProfile Id="REST-GetProfile-Dev">
    <DisplayName>Do some custom logic</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    <Metadata>
        <Item Key="ServiceUrl">https://the-endpoint.com</Item>
        <Item Key="AuthenticationType">None</Item>
        <!-- REMOVE the following line in production environments -->
        <Item Key="AllowInsecureAuthInProduction">true</Item>
    </Metadata>
    <InputClaims>
        <!-- Claims sent to your REST API -->
        <InputClaim ClaimTypeReferenceId="objectId" />
        <InputClaim ClaimTypeReferenceId="email" />
        <InputClaim ClaimTypeReferenceId="sub" />
        <InputClaim ClaimTypeReferenceId="signInNames.emailAddress" />
        <InputClaim ClaimTypeReferenceId="userPrincipalName" />
        <InputClaim ClaimTypeReferenceId="displayName" />
        <InputClaim ClaimTypeReferenceId="otherMails" />
        <InputClaim ClaimTypeReferenceId="upnUserName" />
        <InputClaim ClaimTypeReferenceId="alternativeSecurityId" />
        <InputClaim ClaimTypeReferenceId="upn" />
        <InputClaim ClaimTypeReferenceId="signInName" />
        <InputClaim ClaimTypeReferenceId="socialIdpUserId" />

        <InputClaim ClaimTypeReferenceId="identityProvider" />
        <InputClaim ClaimTypeReferenceId="authenticationSource" />
    </InputClaims>
    <OutputClaims>
        <!-- bunch of app specific claims -->
    </OutputClaims>
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

但是，我似乎永远无法获得电子邮件地址，或任何包含已登录用户的电子邮件地址的信息。

我尝试跟踪自定义策略 XML 文件中定义的处理过程，但这很有挑战性。老实说，我一直在研究这个问题，并尝试向各个步骤的输出添加各种附加声明，但它对我来说不起作用。

如果您能详细说明如何获取通过传递到 REST 编排步骤的外部 Azure AD 登录的用户的电子邮件地址，我们将不胜感激。

谢谢。

** 大编辑 **

为了回应 Jas Suri，我已经重置了所有内容，按照建议应用了以下更改，但我仍然没有看到这项工作。

这是我的TrustFrameworkBase.xml: TrustFrameworkBase.xml

这是我的TrustFrameworkExtensions.xml: TrustFrameworkExtensions.xml

这是我的依赖方 (SignInSignUpMulti.xml) 文件: SignInSignUpMulti.xml

现在，看看我的场景:

当我使用“本地”帐户登录时，我看到此类信息在用户旅程中传递到我的休息端点:

{
    "objectId": "1e91bfba-17a1-43b6-a451-9896fc3c1061",
    "signInNames.emailAddress": "<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="ee8b838f8782ae8b968f839e828bc08d8183" rel="noreferrer noopener nofollow">[email protected]</a>",
    "displayName": "User DispName",
    "signInName": "<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="36535b575f5a76534e575b465a531855595b" rel="noreferrer noopener nofollow">[email protected]</a>",
    "authenticationSource": "localAccountAuthentication"
}

这完美。我可以获取此信息并收集其他 claim 以返回，并且所有工作都完全按照我的意愿进行。

当我以附加到我的组织的 AD 帐户身份登录时，我会收到以下信息:

{
    "objectId": "a_guid",
    "sub": "Not supported currently. Use oid claim.",
    "userPrincipalName": "<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="4b283b2226142a142c3e222f0b1f0e050a051f652425262228392438242d3f65282426" rel="noreferrer noopener nofollow">[email protected]</a>",
    "displayName": "ThisIs Correct",
    "upnUserName": "14218711-5dd1-4a81-8e04-77bd08298aaf",
    "alternativeSecurityId": "{\"type\":6,\"identityProvider\":\"https://login.microsoftonline.com/a_guid/v2.0\",\"key\":\"a_key\"}",
    "identityProvider": "https://login.microsoftonline.com/a_guid/v2.0",
    "authenticationSource": "socialIdpAuthentication"
}

我缺少电子邮件(或用户登录)地址。

并且，当我尝试以外部 AD 身份登录时，也会发生同样的情况:

{
    "objectId": "a_guid",
    "sub": "Not supported currently. Use oid claim.",
    "userPrincipalName": "<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="197a6970744678467e6c707d594d5c5758574d37767774707a6b766a767f6d377a7674" rel="noreferrer noopener nofollow">[email protected]</a>",
    "displayName": "ThisIs Correct",
    "upnUserName": "9c865de4-2898-4b18-998b-7fa151f6623d",
    "alternativeSecurityId": "{\"type\":6,\"identityProvider\":\"https://login.microsoftonline.com/a_guid/v2.0\",\"key\":\"a_key\"}",
    "identityProvider": "https://login.microsoftonline.com/a_guid/v2.0",
    "authenticationSource": "socialIdpAuthentication"
}

如果我能弄清楚如何传递电子邮件地址或登录地址，那么我会非常高兴。

调试期间的事件，如果我导致用户无论如何都登录，我会检查 User.Identity，虽然我看到声称我的其余 api 在旅途中返回，但我仍然不知道没有任何与我期望(希望)看到的电子邮件地址类似的声明。
我绝对可以使用任何一种方式 - 传递到 REST API 的电子邮件地址，或者应用程序收到的最终声明集中出现的电子邮件地址。

任何帮助将不胜感激。

Answer 1

从 Azure AD 中，所有用户都将返回 unique_name 声明，这是其 Azure AD 中的 UPN。您也可以依靠这个。如果您依赖 AAD 的电子邮件声明，则仅当用户具有 Exchange Online 收件箱时才会显示该电子邮件声明。您还必须在 AAD Multi-Tenancy 应用程序注册中将其设置为可选的 Azure AD 声明。

通常，Azure AD 中的 UPN 和电子邮件是相同的。所以在 AAD technical profile ，您可以添加此输出声明来捕获 AAD UPN:

<OutputClaim ClaimTypeReferenceId="aadUPN" PartnerClaimType="unique_name"/>

然后在依赖方部分中添加以下输出声明:

<OutputClaim ClaimTypeReferenceId="aadUPN" PartnerClaimType="UPNfromAAD"/>