azure-ad-b2c - 如何使用自定义策略让 login_hint 与社交 IDP 一起工作

Question

我们正在使用自定义登录/注册策略，将 Facebook、LinkedIn、Twitter、Google+ 配置为社交 IDP。

我们已经构建了一个自定义页面，我们要求用户提供他们的电子邮件，然后使用 domain_hint 将他们重定向到特定的 IDP 页面(我们有围绕此构建的逻辑)，例如: domain_hint=facebook.com.

我想在 login_hint 中将用户在第一步中输入的电子邮件地址与 domain_hint 一起传递，这样用户就不必输入一次电子邮件当重定向到 IDP 页面 (Facebook.com) 时再次出现。

我从 IDP 的 AD B2C 文档中获取代码，并在 Facebook、Linkedin、Twitter 等的声明提供程序中添加如下代码，但它不起作用

<InputClaims>
    <InputClaim ClaimTypeReferenceId="logonIdentifier" PartnerClaimType="login_hint" DefaultValue="{OIDC:LoginHint}" />
</InputClaims>
<OutputClaims>
    <OutputClaim ClaimTypeReferenceId="logonIdentifier" Required="true" />
</OutputClaims>

是否有实现此目的的方法/选项？

Answer 1

对于上述身份提供商，Google 是唯一支持登录提示的提供商，因此如果您添加 domain_hint和 login_hint Azure AD B2C 请求的参数:

https://login.microsoftonline.com/te/<tenant>/<policy>/oauth2/v2.0/authorize?...&domain_hint=google.com&login_hint=someone@somewhere.com

然后您可以将“login_hint”参数从 Azure AD B2C 传递到 Google 端点，如下所示:

1) 创建一个“loginHint”声明类型:

<ClaimType Id="loginHint">
  <DisplayName>Login Hint</DisplayName>
  <DataType>string</DataType>
</ClaimType>

2) 将“loginHint”输入声明添加到 Google 技术配置文件中:

<ClaimsProvider>
  <Domain>google.com</Domain>
  <DisplayName>Google Account</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="GoogleAccount-OAuth2">
      <DisplayName>Google Account</DisplayName>
      <Protocol Name="OAuth2" />
      ...
      <InputClaims>
        <InputClaim ClaimTypeReferenceId="loginHint" PartnerClaimType="login_hint" DefaultValue="{OIDC:LoginHint}" />
      </InputClaims>
      ...
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>