Azure Active Directory B2C自定义验证

Question

您如何在AAD B2C流程中对用户执行自定义验证？

即，我们有一个具有各种属性的用户数据库，我们要使用B2C进行用户身份验证，我们需要确保注册的用户正确匹配我们数据库中的现有用户。有敏感信息可供他们访问，因此这确实是重要在注册过程中，我们希望让用户填写其详细信息，但是我们需要能够根据我们的数据库检查其中一些详细信息，如果他们没有正确填写详细信息，则将导致注册失败。 例如，匹配DoB，社会保险号，地址等。

这是实现我们所想的正确方法吗？ https://docs.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-rest-api-validation-custom

如果验证失败怎么办？ AAD帐户会被删除吗？ 如果放弃验证会怎样？ B2C中有一个“首次登录”标志，如果验证失败并且用户重试，会发生什么，该标志如何设置以及由谁控制？

Answer 1

或者，您可以创建一个验证技术配置文件，其中封装了由帐户注册技术配置文件执行的属性验证。

例如，您可能具有以下技术资料，该资料使用社会保险号注册了本地帐户：

<TechnicalProfile Id="LocalAccount-Registration">
  <DisplayName>Local Account Registration</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.SelfAssertedAttributeProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ContentDefinitionReferenceId">api.localaccount.registration</Item>
    <Item Key="IpAddressClaimReferenceId">IpAddress</Item>
    <Item Key="language.button_continue">Create</Item>
  </Metadata>
  <CryptographicKeys>
    <Key Id="issuer_secret" StorageReferenceId="TokenSigningKeyContainer" />
  </CryptographicKeys>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="email" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="Verified.Email" Required="true" />
    <OutputClaim ClaimTypeReferenceId="newPassword" Required="true" />
    <OutputClaim ClaimTypeReferenceId="reenterPassword" Required="true" />
    <OutputClaim ClaimTypeReferenceId="displayName" Required="true" />
    <OutputClaim ClaimTypeReferenceId="extension_SocialSecurityNumber" Required="true" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />
    <OutputClaim ClaimTypeReferenceId="executed-SelfAsserted-Input" DefaultValue="true" />
    <OutputClaim ClaimTypeReferenceId="newUser" />
    <OutputClaim ClaimTypeReferenceId="objectId" />
    <OutputClaim ClaimTypeReferenceId="sub" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
  </OutputClaims>
  <ValidationTechnicalProfiles>
    <ValidationTechnicalProfile ReferenceId="AzureFunctions-CheckCustomer" />
    <ValidationTechnicalProfile ReferenceId="AzureActiveDirectoryStore-WriteUserByEmail-ThrowIfExists" />
  </ValidationTechnicalProfiles>
  <UseTechnicalProfileForSessionManagement ReferenceId="SSOSession-AzureActiveDirectory" />
</TechnicalProfile>

当最终用户提交注册表格时执行的第一个验证技术配置文件称为“ AzureFunctions-CheckCustomer”，它调用Azure功能（或其他外部服务）来验证注册字段。

<TechnicalProfile Id="AzureFunctions-CheckCustomer">
  <DisplayName>Check Customer Azure Function</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="ServiceUrl">https://contoso.azurewebsites.net/api/CheckCustomer?code=...</Item>
    <Item Key="AuthenticationType">None</Item>
    <Item Key="SendClaimsIn">Body</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="extension_SocialSecurityNumber" PartnerClaimType="socialSecurityNumber" />
  </InputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SSOSession-Noop" />
</TechnicalProfile>

如果Azure函数返回200 OK，则称为“ AzureActiveDirectoryStore-WriteUserByEmail-ThrowIfExists”的下一个验证技术配置文件将创建本地帐户，最终用户可以继续进行下一步。 如果Azure函数返回带有错误消息的409冲突，则不会创建本地帐户，并且将错误消息显示给最终用户。

Answer 2

这是实现我们所想的正确方法吗？ https://docs.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-rest-api-validation-custom

对，那是正确的。

如果验证失败怎么办？ AAD帐户会被删除吗？ 如果放弃验证会怎样？

该帐户将不会被删除。 一种方法是添加其他属性/声明并在您的应用程序中检查该值。 类似于IsValidated 。 如果!IsValidated将用户从他们发送到Edit Profile进行验证。

在“ Edit Profile用户使用过程中，如果用户输入已更正的值，则IsValidated会设置为true 。