ASP.NET SAML Single Sign-On (SSO) mit Azure B2C als IDP

ASP.NET SAML Single Sign-On (SSO) Das Modul bietet die Möglichkeit, SAML Single Sign-On für Ihre ASP.NET-Anwendungen zu aktivieren. Mit Single Sign-On können Sie nur ein Passwort verwenden, um auf Ihre ASP.NET-Anwendungen und -Dienste zuzugreifen. Unser Modul ist mit allen SAML-kompatiblen kompatibel Identitätsanbieter. Hier gehen wir eine Schritt-für-Schritt-Anleitung durch, um Single Sign-On (SSO) zwischen ASP.NET und Azure B2C unter Berücksichtigung von Azure B2C als IdP zu konfigurieren. Um mehr über die anderen von uns angebotenen Funktionen zu erfahren, klicken Sie hier.

Voraussetzungen: Download und Installation

• Installation über Visual Studio IDE (NuGet)
• Manuelle Installation

• NuGet-Paket
• .NET-CLI

PM> NuGet\Install-Package miniOrange.SAML.SSO

> Dotnet-Paket miniOrange.SAML.SSO hinzufügen

• Herunterladen miniOrange ASP.NET SAML 2.0-Modul.
• Um das Modul einzurichten, extrahieren Sie die Datei asp.net-saml-sso-module-xxx.zip. Sie finden eine DLL mit dem Namen miniorange-saml-sso.dll, eine Konfigurationsdatei mit dem Namen saml.config und ein Integration.md Datei, die Schritte zum Hinzufügen des Moduls in Ihre Anwendung enthält.
• Speichern miniorange-saml-sso.dll in Ihren bin-Ordner (wo andere DLL-Dateien für Ihre Anwendung vorhanden sind).
• Registrieren minorangesamlsso Fügen Sie das Modul gemäß den in der genannten Datei bereitgestellten Schritten in Ihre Anwendung ein Integration.md.
• Fügen Sie die bereitgestellte Konfigurationsdatei hinzu saml.config im Stammverzeichnis Ihrer Anwendung.

• Öffnen Sie nach der Integration Ihren Browser und durchsuchen Sie das Connector-Dashboard mit der folgenden URL:
  https://<your-application-base-url>/?ssoaction=config
• Wenn die Registrierungs- oder Anmeldeseite angezeigt wird, haben Sie den miniOrange SAML SSO-Connector erfolgreich zu Ihrer Anwendung hinzugefügt.

• Registrieren Sie sich oder melden Sie sich mit Ihrem Konto an, indem Sie auf klicken Registrieren Klicken Sie auf die Schaltfläche, um das Modul zu konfigurieren.

Konfigurieren Sie ASP.NET Single Sign-On (SSO) mit Azure B2C als IDP

1. Konfigurieren Sie Azure B2C als IDP

 Registrieren Sie die Identity Experience Framework-Anwendung

• Melden Sie sich an Azure B2C-Portal.
• Wählen Sie im Azure AD B2C-Mandanten aus App-Registrierungen, und wählen Sie dann Neue Registrierung aus.

• Aussichten für Name und VornameGeben Sie IdentityExperienceFramework ein.
• Der Unterstützte KontotypenWählen Nur Konten in diesem Organisationsverzeichnis.

• Der Umleitungs-URI, wählen Sie „Web“ aus und geben Sie dann „https://Ihr-Mandantenname.b2clogin.com/Ihr-Mandantenname.onmicrosoft.com“ ein, wobei Ihr-Mandantenname der Domänenname Ihres Azure AD B2C-Mandanten ist.

Anmerkungen:

Im folgenden Schritt wird ggf 'Berechtigungen' Wenn der Abschnitt nicht sichtbar ist, liegt dies möglicherweise daran, dass Sie für diesen Mandanten kein aktives AzureAD B2C-Abonnement haben. Die Details zum AzureAD B2C-Abonnement finden Sie hier hier und Sie können einen neuen Mandanten erstellen, indem Sie die Schritte befolgen hier.



• Der Berechtigungen, aktivieren Sie das Kontrollkästchen „Administratoreinwilligung für openid- und offline_access-Berechtigungen erteilen“.
• Auswählen Registrieren.

• Nehmen Sie die auf Anwendungs-ID (Client-ID) zur Verwendung in einem späteren Schritt.

 Registrieren Sie die Identity Experience Framework-Anwendung

• Der VerwaltenWählen Eine API verfügbar machen.
• Auswählen Einen Bereich hinzufügen, wählen Sie dann Speichern aus und akzeptieren Sie weiterhin den Standard-Anwendungs-ID-URI.

• Geben Sie die folgenden Werte ein, um einen Bereich zu erstellen, der die Ausführung benutzerdefinierter Richtlinien in Ihrem Azure AD B2C-Mandanten ermöglicht:
1. Bereichsname: user_impersonation
2. Anzeigename der Administratoreinwilligung: Greifen Sie auf IdentityExperienceFramework zu
3. Beschreibung der Administratoreinwilligung: Erlauben Sie der Anwendung, im Namen des angemeldeten Benutzers auf IdentityExperienceFramework zuzugreifen.
• Auswählen Bereich hinzufügen

 Registrieren Sie die ProxyIdentityExperienceFramework-Anwendung

• Auswählen App-RegistrierungenUnd wählen Sie dann Neue Registrierung.
• Aussichten für Name und VornameGeben Sie ProxyIdentityExperienceFramework ein.
• Der Unterstützte KontotypenWählen Nur Konten in diesem Organisationsverzeichnis.

• Der Umleitungs-URI, verwenden Sie das Dropdown-Menü zur Auswahl Öffentlicher Client/nativ (mobil und Desktop).
• Aussichten für Umleitungs-URI, geben Sie myapp://auth ein.
• Der Berechtigungen, aktivieren Sie das Kontrollkästchen „Administratoreinwilligung für openid- und offline_access-Berechtigungen erteilen“.
• Auswählen Registrieren.

• Nehmen Sie die auf Anwendungs-ID (Client-ID) zur Verwendung in einem späteren Schritt.

 Geben Sie als Nächstes an, dass die Anwendung als öffentlicher Client behandelt werden soll

• Der VerwaltenWählen Authentifizierung.
• Der Erweiterte Einstellungen, aktivieren Öffentliche Clientflüsse zulassen (wählen Sie Ja).
• Auswählen Speichern.

 Erteilen Sie nun Berechtigungen für den API-Bereich, den Sie zuvor in der IdentityExperienceFramework-Registrierung bereitgestellt haben

• Der VerwaltenWählen API-Berechtigungen.
• Der Konfigurierte BerechtigungenWählen Berechtigung hinzufügen.

• Wähle aus Meine APIs Registerkarte, und wählen Sie dann die IdentityExperienceFramework Anwendung.

• Der GenehmigungWählen Sie die user_impersonation Bereich, den Sie zuvor definiert haben.
• Auswählen Berechtigungen hinzufügen. Warten Sie wie angegeben einige Minuten, bevor Sie mit dem nächsten Schritt fortfahren.

• Auswählen Erteilen Sie die Administratoreinwilligung für (Ihren Mandantennamen).

• Wählen Sie Ihr aktuell angemeldetes Administratorkonto aus oder melden Sie sich mit einem Konto in Ihrem Azure AD B2C-Mandanten an, dem mindestens die Rolle „Cloud-Anwendungsadministrator“ zugewiesen wurde.
• Auswählen Ja.
• Auswählen Inspirationund überprüfen Sie dann, ob „Gewährt für ...“ unter angezeigt wird Status für die Bereiche offline_access, openid und user_impersonation. Es kann einige Minuten dauern, bis die Berechtigungen weitergegeben werden.

 Registrieren Sie die ASP.NET-Anwendung

• Auswählen App-RegistrierungenUnd wählen Sie dann Neue Registrierung.
• Geben Sie einen Namen für die Anwendung ein, z. B.: WP-App.
• Der Unterstützte KontotypenWählen Konten in einem beliebigen Organisationsverzeichnis oder einem beliebigen Identitätsanbieter. Zur Authentifizierung von Benutzern mit Azure AD B2C.

• Der Umleitungs-URI, wählen Sie „Web“ aus und geben Sie dann die ACS-URL ein Dienstanbietereinstellungen Registerkarte des miniOrange ASP.NET SAML-Plugins.
• Auswählen Registrieren.

• Der Verwalten, klicke auf Eine API verfügbar machen.
• Klicken Sie auf Sept Geben Sie den Anwendungs-ID-URI ein und klicken Sie dann auf Speichern, wobei der Standardwert übernommen wird.

• Kopieren Sie nach dem Speichern den Anwendungs-ID-URI und navigieren Sie zu Metadaten des Dienstanbieters Registerkarte des Plugins.
• Fügen Sie den kopierten Wert unter ein SP-Entitäts-ID/Aussteller Feld auf dieser Registerkarte.
• Klicken Sie auf Speichern.

 Generieren Sie SSO-Richtlinien

• Navigieren Sie in unserem Azure B2C-Portal zum Abschnitt „Übersicht“ Ihres B2C-Mandanten und notieren Sie Ihren Mandantennamen.
  Anmerkungen: Wenn Ihre B2C-Domäne b2ctest.onmicrosoft.com lautet, lautet Ihr Mandantenname b2ctest.

• Geben Sie Ihre Name des Azure B2C-Mandanten unten, zusammen mit der Anwendungs-ID für IdentityExperienceFramework und
  ProxyIdentityExperienceFramework-Apps wie in den obigen Schritten registriert.



Name des Azure B2C-Mandanten:
IdentityExperienceFramework-App-ID:
ProxyIdentityExperienceFramework-App-ID:
Wählen Sie zusätzliche Attribute aus	User Type Stellenbezeichnung Abteilung Verwendungsort Adresse Staat oder Provinz Land oder Region Stadt Postleitzahl Bürotelefon Mobiltelefon physischerDeliveryOfficeName Altersgruppe Einwilligung für Minderjährige erteilt Einstufung der gesetzlichen Altersgruppe erstelltDatumUhrzeit netId



• Klicken Sie auf Generieren Sie Azure B2C-Richtlinien Klicken Sie auf die Schaltfläche, um die SSO-Richtlinien herunterzuladen.
• Extrahieren Sie die heruntergeladene ZIP-Datei. Es enthält die Richtliniendateien und das Zertifikat (.pfx), die Sie in den folgenden Schritten benötigen.

 Zertifikate einrichten und hochladen

• Melden Sie sich bei der an Azure-Portal und navigieren Sie zu Ihrem Azure AD B2C-Mandanten.

• Der RichtlinienWählen Identity Experience Framework und dann Richtlinienschlüssel.

• Auswählen SpeichernUnd wählen Sie dann Optionen > Hochladen
• Geben Sie als Namen SamlIdpCert ein. Dem Namen Ihres Schlüssels wird automatisch das Präfix B2C_1A_ hinzugefügt.

• Laden Sie mithilfe der Datei-Upload-Steuerung Ihr Zertifikat hoch, das in den obigen Schritten generiert wurde, zusammen mit den SSO-Richtlinien (tenantname-cert.pfx).
• Geben Sie als Mandantennamen das Passwort des Zertifikats ein und klicken Sie auf Erstellen. Wenn Ihr Mandantenname beispielsweise xyzb2c.onmicrosoft.com lautet, geben Sie das Kennwort als xyzb2c ein
• Sie sollten einen neuen Richtlinienschlüssel mit dem Namen B2C_1A_SamlIdpCert sehen können.

 Erstellen Sie den Signaturschlüssel

• Auf der Übersichtsseite Ihres Azure AD B2C-Mandanten unter Richtlinien, wählen Identity Experience Framework.
• Auswählen Richtlinienschlüssel und dann auswählen Speichern.
• Aussichten für Optionen, wählen Sie Generieren.
• In Name und VornameGeben Sie TokenSigningKeyContainer ein.
• Aussichten für Schlüsselart, wählen Sie RSA.
• Aussichten für Schlüsselverwendung, wählen Sie „Signatur“.

• Auswählen Erstellen.

 Erstellen Sie den Verschlüsselungsschlüssel

• Auf der Übersichtsseite Ihres Azure AD B2C-Mandanten unter Richtlinien, wählen Identity Experience Framework.
• Auswählen Richtlinienschlüssel und dann auswählen Speichern.
• Aussichten für Optionen, wählen Sie Generieren.
• In Name und VornameGeben Sie TokenEncryptionKeyContainer ein.
• Aussichten für Schlüsselart, wählen Sie RSA.
• Aussichten für Schlüsselverwendung, wählen Sie Verschlüsselung.

• Auswählen Erstellen.

 Laden Sie die Richtlinien hoch

• Wähle aus Identity Experience Framework Menüpunkt in Ihrem B2C-Mandanten im Azure-Portal.

• Auswählen Laden Sie eine benutzerdefinierte Richtlinie hoch.

• Laden Sie die in den oben genannten Schritten heruntergeladenen Richtliniendateien in der folgenden Reihenfolge hoch:
• TrustFrameworkBase.xml
• TrustFrameworkExtensions.xml
• SignUpOrSignin.xml
• ProfileEdit.xml
• PasswordReset.xml
• SignUpOrSigninSAML.xml
• Wenn Sie die Dateien hochladen, fügt Azure jeder Datei das Präfix B2C_1A_ hinzu.

Sie haben Azure B2C erfolgreich als SAML IDP (Identitätsanbieter) konfiguriert, um ASP.NET Single Sign-On (SSO) zu erreichen.

2. ASP.NET-Anwendung als Dienstanbieter konfigurieren (SSO-Modul)

Hinweis: Nach der Installation des Plugins müssen wir die Vertrauensstellung zwischen Ihrer ASP.NET-Anwendung und Azure B2C einrichten. SAML-Metadaten werden mit Azure B2C geteilt, sodass sie ihre integrierte Konfiguration aktualisieren können, um Single Sign-On zu unterstützen.

2.1: SAML-Metadaten mit Azure B2C teilen

• Klicken Sie auf Neuen IDP hinzufügen zum Konfigurieren von ASP.NET Single Sign-On (SSO) mit Azure B2C.

• Der Dienstanbietereinstellungen Auf der Registerkarte können Sie die Datei entweder kopieren und einfügen Metadaten-URL auf Ihrer IDP-Seite oder Laden Sie die SP-Metadaten herunter als XML-Datei. Darüber hinaus haben Sie die Möglichkeit, manuell zu kopieren und einzufügen Basis-URL, SP-Entitäts-ID und ACS-URL.
• Teilen Sie SAML-Metadaten mit Ihrem Identitätsanbieter.

2.2: Azure B2C SAML-Metadaten importieren

• Auswählen Azure B2C aus der unten aufgeführten Liste der Identitätsanbieter.

Im Folgenden werden zwei Möglichkeiten beschrieben, mit denen Sie die Metadaten Ihres SAML-Identitätsanbieters im Modul konfigurieren können.

A] Metadaten über die Schaltfläche „IDP-Metadaten hochladen“ hochladen:

• Wenn Ihr Identitätsanbieter Ihnen die Metadaten-URL oder Metadatendatei (nur .xml-Format) bereitgestellt hat, können Sie die Metadaten des Identitätsanbieters einfach im Modul mithilfe von konfigurieren Laden Sie IDP-Metadaten hoch .
• Sie können sich auf den Screenshot unten beziehen:

• Sie können eine der Optionen entsprechend dem verfügbaren Metadatenformat auswählen.

B] Konfigurieren Sie die Metadaten des Identitätsanbieters manuell:

• Nachdem Sie Ihren Identitätsanbieter konfiguriert haben, erhalten Sie Folgendes IDP-Entitäts-ID, IDP-Single-Sign-On-URL machen SAML X509-Zertifikat Felder bzw.
• Klicken Sie auf Kostenlos erhalten und dann auf Installieren. Speichern um Ihre IDP-Daten zu speichern.

Sie haben Ihre ASP.NET-Anwendung erfolgreich als Dienstanbieter konfiguriert.

3. Testen von SAML SSO

• Bitte stellen Sie vor dem Test Folgendes sicher:
• Die ASP.NET (SP) SAML-Metadaten wurden nach Azure B2C (IDP) exportiert.
• Importieren der SAML-Metadaten von Azure B2C (IDP) in ASP.NET (SP).
• Klicken Sie auf Kostenlos erhalten und dann auf Installieren. hier wenn Sie MFA noch nicht auf Azure B2C konfiguriert haben. Sie können MFA für Azure B2C auch deaktivieren, indem Sie auf klicken hier.
• Um zu testen, ob die von Ihnen vorgenommene SAML-Konfiguration korrekt ist, bewegen Sie den Mauszeiger auf Wählen Sie Aktionen aus und klicken Sie auf Testkonfiguration.

• Hinweis: In der Testversion des Plugins können Sie nur einen Identitätsanbieter (IDP) konfigurieren und testen.
• Der Screenshot unten zeigt ein erfolgreiches Ergebnis. Klicke auf Erledigt um die SSO-Integration weiter fortzusetzen.

• Wenn auf der Modulseite ein Fehler auftritt, wird ein Fenster angezeigt, das dem folgenden ähnelt.

• Um den Fehler zu beheben, können Sie die folgenden Schritte ausführen:
• Der Problemlösung Aktivieren Sie auf der Registerkarte den Schalter, um die Plugin-Protokolle zu empfangen.


• Nach der Aktivierung können Sie Plugin-Protokolle abrufen, indem Sie zu navigieren Einstellungen des Identitätsanbieters Tab und klicken Sie auf Testkonfiguration.
• Laden Sie die Logdatei von dem Problembehandlung Tab, um zu sehen, was schief gelaufen ist.
• Sie können die teilen Logdatei bei uns bei aspnetsupport@xecurify.com und unser Team wird sich mit Ihnen in Verbindung setzen, um Ihr Problem zu lösen.

4. Integrationscode

• In diesem Schritt können Sie das SSO-Präfix des Sitzungs- oder Anspruchsparameters angeben, der für den Zugriff auf Benutzerattribute in Ihrer Anwendung verwendet wird.
• Wenn Sie immer noch nicht wissen, wie die Integrationsschritte funktionieren, werfen Sie einen Blick auf die Setup-Tour.

• Wählen Sie den Modus zum Speichern von SSO-Attributen aus, und Sie sehen nun den Integrationscode basierend auf der von Ihnen ausgewählten Authentifizierungsmethode und der Sprache, die Ihre Anwendung verwendet.
• Kopieren Sie einfach dieses Code-Snippet und fügen Sie es dort ein, wo Sie auf die Benutzerattribute zugreifen möchten.

• Hinweis: Dieses Testmodul unterstützt nur sitzungsbasierte Authentifizierung und Benutzeransprüche ist im Premium-Plugin verfügbar.
• Hinweis: Alle zugeordneten Attribute werden in der Sitzung gespeichert, sodass Sie in Ihrer Anwendung darauf zugreifen können.
• Wenn Sie Hilfe zum Integrationscode benötigen, kontaktieren Sie uns unter aspnetsupport@xecurify.com

5. Anmeldeeinstellungen

• Schweben Wählen Sie Aktionen aus und klicken Sie auf SSO-Link kopieren.

• Verwenden Sie den kopierten Link in der Anwendung, von der aus Sie SSO durchführen möchten:
  https://base-url/?ssoaction=login
• Sie können es beispielsweise wie folgt verwenden:
  <a href=”https://base-url/?ssoaction=login”>Log in</a>

6. Abmeldeeinstellungen

• Verwenden Sie die folgende URL als Link in Ihrer Anwendung, von der aus Sie SLO durchführen möchten: https://<your-application-base-url>/?ssoaction=logout
• Sie können es zum Beispiel verwenden als: <a href="https://<your-application-base-url>/?ssoaction=logout">Logout</a>

Sie können das sogar konfigurieren DNN SAML Single Sign-On (SSO) Modul mit einem beliebigen Identitätsanbieter wie z ADFS, Azure AD, Bitium, zentrify, G Suite, JBoss Keycloak, Okta, OneLogin, Salesforce, AWS Cognito, OpenAM, Oracle, PingFederate, PingOne, RSA SecureID, Shibboleth-2, Shibboleth-3, SimpleSAML, WSO2 oder sogar mit Ihrem eigenen Benutzerdefinierter Identitätsanbieter. Um andere Identitätsanbieter zu überprüfen, klicken Sie auf hier.

Weitere Informationen

• ASP.NET OAuth Single Sign-On (SSO)
• Web3-Anmeldung für ASP.NET-Anwendungen
• DNN SAML Single Sign-On (SSO)
• DNN-REST-API-Authentifizierung
• nopCommerce SAML Single Sign-On (SSO)
• nopCommerce OAuth Single Sign-On (SSO)
• Umbraco SAML Single Sign-On (SSO)