Azure B2C を IDP として使用して ASP.NET Framework SAML SSO を構成するためのガイド

前提条件: ダウンロードとインストール

A] NuGet のインストール:

• にログインします http://portal.miniorange.com/ に移動します ダウンロード タブから購入したプラグインを見つけてクリックします プラグインのダウンロード プラグインの zip ファイルをダウンロードします。

• ダウンロードした zip ファイルをマシンに解凍し、NuGet パッケージ ファイル (.nupkg ファイル) を「C:\miniOrangePackages」などのフォルダーに配置します。
• パッケージ ソースとして追加するには、VS ターミナルで次のコマンドを実行します。

• ターミナルでプロジェクトを開きます。

• 以下のコマンドを使用して、プロジェクトにパッケージをインストールします。

OR

• NuGet パッケージ (.nupkg ファイル) をローカル フォルダーに配置した後、ターミナルを使用する代わりに、次の手順に従って Visual Studio を使用してインストールすることもできます。
• Visual Studioで.NETアプリケーションを開き、 ツール 上部のナビゲーションバーで、 NuGet パッケージ マネージャー → ソリューションの NuGet パッケージの管理.

• 新しいウィンドウが開きますので、 歯車のアイコン パッケージ ソース ドロップダウンの横にあります。

• ポップアップウィンドウが開きますので、 パッケージソース 左側のナビゲーションパネルからプラスをクリックします （+） アイコンに入力して 名 パッケージソースには、NuGetパッケージを配置したフォルダのパスを指定します。 ソース フィールドをクリックし、 更新 最後に OK 画像に示すように、変更を保存します。

• ポップアップウィンドウを閉じた後、新しく追加されたパッケージソースを パッケージソース ドロップダウン。

• 今すぐ ブラウズ タブ、検索 ミニオレンジ.SAML.SSO結果からパッケージを選択し、「インストール」をクリックします。

B] 手動インストール:

• ダウンロードしたパッケージを解凍します miniOrangeポータル. そこには 手動インストール フォルダ miniorange-saml-sso.dll アプリケーションの配置が必要なその他の DLL ファイル ビン フォルダにコピーします。
• 置き saml.config ファイルと miniOrangeContent アプリケーションのルートディレクトリにあるフォルダ。
• miniOrangeモジュールを登録してください web.config の手順に従うことで 統合.md.

モジュールダッシュボードにアクセス

• インストール後、ブラウザを開き、以下の URL でモジュール ダッシュボードを参照します。
  

 http(s)<your-dotnet-application-base-url>?ssoaction=config


• ログインページが表示されたら、miniOrange SAML SSOモジュールをアプリケーションに正常に追加できました。

• ライセンスを取得したminiOrangeアカウントでログインして、モジュールを設定してください。
• ログイン後、 アカウントの設定 ダッシュボードが開きます。プラグインを有効化するには、ログイン後に受け取るライセンスキーを入力してください。 portal.miniorange.com そして、 ライセンスの管理 → ライセンスキー.

• 次に、ボックスにチェックを入れます 「上記の2つの条件を読み、プラグインを有効にしたいと思います」、をクリックします ライセンス認証

A] SAMLメタデータURLまたはメタデータファイルを使用する

• プラグイン設定メニュー、 探す サービスプロバイダーの設定。 その下に、メタデータ URL と SAML メタデータをダウンロードするオプションがあります。

• メタデータ URL をコピーするか、メタデータ ファイルをダウンロードして、ID プロバイダー側​​で同じものを構成します。

• 以下のスクリーンショットを参照してください。

B] メタデータを手動でアップロードする

• ノーザンダイバー社の サービスプロバイダーの設定 セクションでは、サービスプロバイダのメタデータを手動でコピーすることができます。 SP エンティティ ID、ACS URL、シングル ログアウト URL、そしてそれをアイデンティティプロバイダーと共有して構成します。
• SP証明書は、以下のリンクをクリックしてダウンロードすることもできます。 SP証明書をダウンロード 必要に応じて、ID プロバイダーに提供します。
• 下 暗号化証明書 セクションで、要件に応じて適切な証明書の種類を選択します。
• 上記の手順を完了したら、 Save 構成を適用します。

• 以下のスクリーンショットを参照してください。

Azure B2C IdP の構成手順

• ログイン時に Azure B2C ポータル.
• Azure AD B2C テナントから、 アプリの登録、次に選択 新規登録.

• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する 名前、IdentityExperienceFrameworkを入力します。
• サポートされているアカウントタイプ選択 この組織ディレクトリのみのアカウント.

• URIをリダイレクトするをクリックし、[Web] を選択して、「https://your-tenant-name.b2clogin.com/your-tenant-name.onmicrosoft.com」と入力します。ここで、your-tenant-name は Azure AD B2C テナント ドメイン名です。

• 権限、選択 openid および offline_access 権限に対する管理者の同意を付与します。 チェックボックスをオンにします。
• ソフトウェアの制限をクリック 会員登録する.

• 記録する アプリケーション（クライアント）ID 後のステップで使用します。

Identity Experience Framework アプリケーションを登録する

• 管理 選択 APIを公開する.
• 選択 スコープを追加するをクリックし、「保存」を選択してデフォルトのアプリケーション ID URI を受け入れ続けます。

• 次の値を入力して、Azure AD B2C テナントでカスタム ポリシーの実行を許可するスコープを作成します。
• スコープ名: ユーザー偽装
• 管理者の同意表示名: IdentityExperienceFramework にアクセス
• 管理者の同意の説明: サインインしたユーザーに代わってアプリケーションが IdentityExperienceFramework にアクセスできるようにします。

• 選択 スコープを追加.

ProxyIdentityExperienceFramework アプリケーションを登録する

• 選択 アプリの登録、次に選択 新規登録.
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する 名前、「ProxyIdentityExperienceFramework」と入力します。
• サポートされているアカウントタイプ選択 この組織ディレクトリのみのアカウント.

• URIをリダイレクトする、ドロップダウンを使用して選択します パブリッククライアント/ネイティブ (モバイルおよびデスクトップ).
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する URIをリダイレクトする、「myapp://auth」と入力します。
• 権限, [openid および offline_access 権限に管理者の同意を与える] チェック ボックスをオンにします。
• 選択 会員登録する.

• 記録する アプリケーション（クライアント）ID 後のステップで使用します。

次に、アプリケーションをパブリック クライアントとして扱うように指定します。

• 管理 選択 認証.
• 詳細設定、イネーブル パブリッククライアントフローを許可する (「はい」を選択)。
• 選択 Save.

次に、IdentityExperienceFramework の登録で前に公開した API スコープにアクセス許可を付与します。

• 管理 選択 API権限.
• 設定された権限選択 権限を追加する.

• まず 私のAPI タブ、次に選択 アイデンティティ体験フレームワーク アプリケーション。

• 許可、選択 ユーザー偽装 前に定義したスコープ。
• 選択 権限を追加。 指示に従って、次のステップに進む前に数分間待ちます。

• 選択 (テナント名) に管理者の同意を与える.

• 現在サインインしている管理者アカウントを選択するか、少なくともクラウド アプリケーション管理者ロールが割り当てられている Azure AD B2C テナントのアカウントを使用してサインインします。
• 選択 はい.
• 選択 Refreshをクリックし、「Granted for ...」が下に表示されていることを確認します。 ステータス スコープの場合は、offline_access、openid、user_impersonation。 権限が反映されるまでに数分かかる場合があります。

ASP.NETアプリケーションを登録する

• [アプリの登録] を選択し、[新規登録] を選択します。
• アプリケーションの名前を入力します (例: WP-app)。
• サポートされているアカウントタイプ選択 任意の組織ディレクトリまたは任意の ID プロバイダー内のアカウント。 Azure AD B2C でユーザーを認証する場合.

• URIをリダイレクトするをクリックし、[Web] を選択して、ACS URL を入力します。 サービスプロバイダーの設定 miniOrange ASP.NET SAML プラグインのタブ。
• 選択 会員登録する.

• 管理 APIを公開する.
• ソフトウェアの制限をクリック 作成セッションプロセスで アプリケーション ID URI を入力し、 Save、デフォルト値を受け入れます。

• 保存したら、アプリケーション ID URI をコピーし、 サービスプロバイダーのメタデータ プラグインのタブ。
• コピーした値を SPエンティティID / 発行者 このタブにあるフィールド。
• 保存をクリックします。

SSO ポリシーの生成

• Azure B2C ポータルから、B2C テナントの [概要] セクションに移動し、テナント名を記録します。
  ご注意: B2C ドメインが b2ctest.onmicrosoft.com の場合、テナント名は b2ctest になります。

• あなたの〜を入力してください Azure B2C テナント名 以下に、上記の手順で登録した IdentityExperienceFramework アプリと ProxyIdentityExperienceFramework アプリのアプリケーション ID を記載します。

Azure B2C テナント名:
IdentityExperienceFramework アプリ ID:
ProxyIdentityExperienceFramework アプリ ID:
追加の属性を選択します	ユーザータイプ ポジションタイトル 部門 使用場所 ご住所 州 国または地域 都市 郵便番号 オフィスの電話 携帯電話 物理的な配達オフィス名 年齢層 未成年者の同意 法定年齢層の分類 作成日時 ネットID 属性を選択します

• 以下を行うには、 Azure B2C ポリシーの生成 ボタンをクリックして SSO ポリシーをダウンロードします。
• ダウンロードしたzipファイルを解凍します。 これには、次の手順で必要となるポリシー ファイルと証明書 (.pfx) が含まれています。

証明書のセットアップとアップロード

• にサインインする Azureのポータル Azure AD B2C テナントを参照します。

• 政策選択 アイデンティティ エクスペリエンス フレームワーク その後 ポリシーキー.

• 選択 追加、次に選択 [オプション] > [アップロード].
• 名前に「SamlIdpCert」と入力します。 プレフィックス B2C_1A_ がキーの名前に自動的に追加されます。

• アップロード ファイル コントロールを使用して、上記の手順で生成された証明書を SSO ポリシー (tenantname-cert.pfx) とともにアップロードします。
• テナント名に証明書のパスワードを入力し、「作成」をクリックします。例えば、テナント名がxyzb2c.onmicrosoft.comの場合、パスワードはxyzb2cと入力します。
• B2C_1A_SamlIdpCert という名前の新しいポリシー キーが表示されるはずです。

署名キーを作成する

• Azure AD B2C テナントの概要ページで、 政策選択 アイデンティティ エクスペリエンス フレームワーク.
• 選択 ポリシーキー 次に選択します 追加.
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する オプション、「生成」を選択します。
• In 名前、「TokenSigningKeyContainer」と入力します。
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する キータイプ、「RSA」を選択します。
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する 主な使用法、「署名」を選択します。

• 選択 創造する.

暗号化キーを作成する

• Azure AD B2C テナントの概要ページで、 政策選択 アイデンティティ エクスペリエンス フレームワーク.
• 選択 ポリシーキー 次に選択します 追加.
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する オプション、「生成」を選択します。
• In 名前、「TokenEncryptionKeyContainer」と入力します。
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する キータイプ、「RSA」を選択します。
• 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する 主な使用法、「暗号化」を選択します。

• 選択 創造する.

ポリシーをアップロードする

• まず アイデンティティ エクスペリエンス フレームワーク Azure portal の B2C テナントのメニュー項目。

• 選択 カスタムポリシーをアップロードする.

• 以下の順序に従って、上記の手順でダウンロードしたポリシー ファイルをアップロードします。
• TrustFrameworkBase.xml
• TrustFrameworkExtensions.xml
• SignUpOrSignin.xml
• プロファイル編集.xml
• パスワードリセット.xml
• SignUpOrSigninSAML.xml

• ファイルをアップロードすると、Azure によって各ファイルにプレフィックス B2C_1A_ が追加されます。

ASP.NET シングル サインオン (SSO) を実現するために、Azure B2C を SAML IDP (ID プロバイダー) として正常に構成しました。

• 以下を行うには、 新しい IDP を追加 新しい ID プロバイダーを構成するためのボタン。

• 下 プラグインの設定 タブ、選択 アジュール B2C 表示されるリストから ID プロバイダーとして選択します。

モジュールで SAML ID プロバイダーのメタデータを構成するには、以下に説明する 2 つの方法があります。

A] [IDP メタデータのアップロード] ボタンを使用してメタデータをアップロードします。

• ID プロバイダーがメタデータ URL またはメタデータ ファイル (.xml 形式のみ) を提供している場合は、モジュールで ID プロバイダーのメタデータを簡単に構成できます。 IDPメタデータのアップロード オプションを選択します。

• メタデータ URL をコピーするか、メタデータ ファイルをダウンロードして、ID プロバイダー側​​で同じものを構成します。

• 以下のスクリーンショットを参照してください。

• 使用可能なメタデータ形式に応じて、オプションのいずれかを選択できます。

B] ID プロバイダーのメタデータを手動で構成します。

• を構成した後 ID プロバイダー、それはあなたに提供します IDPエンティティID、IDPシングルサインオンURL (NAIST) と SAML X509証明書 それぞれフィールド。

• 詳しくはこちら Save IDP の詳細を保存します。

• メタデータの詳細をアップロードした後、 ID プロバイダーの設定 セクション。 アクションの選択 ドロップダウンをクリックして テスト構成.

• 下のスクリーンショットはテスト成功例です。クリックしてください。 こちらをクリックしてください。 残りの SSO 統合手順を完了します。

• モジュール側でエラーが発生した場合は、以下のようなウィンドウが表示されます。

• エラーのトラブルシューティングを行うには、次の手順に従います。
• 解決します タブで、プラグイン ログを受信するためのトグルを有効にします。

• 有効にすると、次の場所に移動してプラグイン ログを取得できるようになります。 プラグインの設定 タブをクリックしてクリックします テスト構成.
• ダウンロード ログファイル 解決します タブをタップして、何が問題だったのかを確認してください。
• あなたは共有することができます ログファイル 私たちと一緒に aspnetsupport@xecurify.com 私たちのチームが問題を解決するためにご連絡いたします。

• 構成をテストした後、アプリケーション属性を ID プロバイダー (IdP) 属性にマップします。

• miniOrange ASP.NET SAML SSOモジュールの左側のメニューから、 属性/役割のマッピング 画像に示すようにタブをクリックします。
• 必要なマップ IdP属性 SAML レスポンスで受信した情報 (ユーザー名、メール アドレス、名、姓など) を対応するフィールドに追加します。

• 注意： マッピングされた属性はすべてセッションに保存されるため、アプリケーション内でそれらにアクセスできます。
• 属性がマッピングされたら、 属性マッピングの保存 変更を適用します。

カスタム属性マッピング

• IdPから追加の属性を渡したい場合は、属性名と対応する属性値を入力します。 カスタム属性マッピング.
• ノーザンダイバー社の 属性値（クレーム） ドロップダウンから、テスト構成の結果で受け取ったクレームの1つを選択します。例：NameID。
• これらのクレームは、アイデンティティ プロバイダー (IdP) によって送信された属性に対応します。

• これらのクレームは、アイデンティティ プロバイダー (IdP) によって送信された属性に対応します。

• 属性名 フィールドに、.NET アプリケーションで表示または使用する属性の名前を入力します。
• アプリケーションで複数の属性が必要な場合は、 +
• 必要なマッピングをすべて定義したら、 属性マッピングの保存 設定を保存します。

• このモジュールは、IDプロバイダー（IdP）から受信したSSOクレームを、ここで定義されたカスタム属性名に変換します。

役割のマッピング

• 役割のマッピング セクションで、 グループ属性名 ユーザー グループ情報を取得するには、ID プロバイダーで設定されているとおりに実行します。
• 入力する 役割名 アイデンティティプロバイダから受信し、適切な 役割価値 フィールド。「ロール値」フィールドに、.NET アプリケーションで定義されているロールを入力します。
• たとえば、UserGroups 属性で受信した IdP グループ Group1 または Group10 を、.NET アプリケーションで構成されている対応するロールにマップします。
• 必要なマッピングを追加したら、 ロールマッピングを保存 設定を正常に保存します。

ドメイン制限

• この機能を使用すると、マッピングされた「メールアドレス」属性のドメインに基づいて、ユーザーのサイトへのアクセスを制限できます。
• 電子メールの属性 フィールドに、アイデンティティプロバイダー (IdP) から受け取ったユーザーの電子メールアドレスを含む属性名を入力します。

• ドメイン名 フィールドに、許可または制限するドメインを入力します。複数のドメインを追加する場合は、カンマで区切ります。
• 有効にします 制限トグル 要件に応じてブラックリストまたはホワイトリストのアクセスを構成します。
• 設定が完了したら、 ドメインを保存 設定を正常に保存します。

• これらの手順により、アプリケーション内でセッションの形式でSSOユーザー情報を取得できます。
• 見ることもできます セットアップツアー ASP.NETモジュールアプリケーションでSSO統合がどのように機能するかを理解する。
• ユーザー属性にアクセスしたい場所に、そのコードスニペットをコピー＆ペーストするだけです。

• ホバーオン アクションの選択 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します SSO リンクをコピーします。

• SSO を実行するアプリケーション内のリンクとして次の URL を使用します。

• たとえば、次のように使用できます。

• SLO を実行するアプリケーションへのリンクとして次の URL を使用します。

• たとえば、次のように使用できます。