Azure 广告 B2C 错误：“无法验证所提供的信息。” 使用自定义策略和自定义属性时

Question

我正在尝试使用 Azure Ad B2C 的自定义策略，因为我们有一个复杂的外部用户自注册流程。 我正在尝试使用自定义属性，并且遵循了专门的教程。

尽管如此，我仍然收到错误“无法验证提供的信息”。 1 - 我为AAD-Common添加了一个带有b2c-extension注册应用程序 ID 的部分。 2 - 我在专用部分中使用 Azure AD B2C UI 创建了自定义属性。 3 - 我在ClaimSchemas部分声明了这个属性。 4 - 我在自断言注册技术配置文件中添加了该属性。 5 - 我在验证自我注册的技术配置文件中添加了要作为持久声明保留的属性。 6 - 我在我的 Azure AD B2C 自定义策略页面上上传了扩展文件。

你能告诉我我做错了什么吗？

谢谢！

在发布到这里之前，我根据我的工作仔细检查了几次教程。

这是我的扩展文件：

<?xml version="1.0" encoding="utf-8" ?>
<TrustFrameworkPolicy xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
   xmlns:xsd="http://www.w3.org/2001/XMLSchema"
   xmlns="http://schemas.microsoft.com/online/cpim/schemas/2013/06" PolicySchemaVersion="0.3.0.0" TenantId="wynsureformercer.onmicrosoft.com" PolicyId="B2C_1A_TrustFrameworkExtensions" PublicPolicyUri="http://mytenant.onmicrosoft.com/B2C_1A_TrustFrameworkExtensions">

   <BasePolicy>
      <TenantId>mytenant.onmicrosoft.com</TenantId>
      <PolicyId>B2C_1A_TrustFrameworkLocalization</PolicyId>
   </BasePolicy>
   <BuildingBlocks>
      <ClaimsSchema>
         <ClaimType Id="custom_employee_id">
            <DisplayName>Employee Id</DisplayName>
            <DataType>string</DataType>
            <UserHelpText/>
            <UserInputType>TextBox</UserInputType>
         </ClaimType>
      </ClaimsSchema>
   </BuildingBlocks>

   <ClaimsProviders>

      <ClaimsProvider>
         <DisplayName>Azure Active Directory</DisplayName>
         <TechnicalProfiles>
            <TechnicalProfile Id="AAD-Common">
               <Metadata>
                  <!--Insert b2c-extensions-app application ID here, for example: 11111111-1111-1111-1111-111111111111-->
                  <Item Key="ClientId">f8070b57-64ba-blablabla</Item>
                  <!--Insert b2c-extensions-app application ObjectId here, for example: 22222222-2222-2222-2222-222222222222-->
                  <Item Key="ApplicationObjectId">a6ae751f-7d74-blablabla</Item>
               </Metadata>
            </TechnicalProfile>

            <TechnicalProfile Id="AAD-UserWriteUsingLogonEmail">
               <Metadata>
                  <Item Key="Operation">Write</Item>
                  <Item Key="RaiseErrorIfClaimsPrincipalAlreadyExists">true</Item>
               </Metadata>
               <IncludeInSso>false</IncludeInSso>
               <InputClaims>
                  <InputClaim ClaimTypeReferenceId="email" PartnerClaimType="signInNames.emailAddress" Required="true" />
               </InputClaims>
               <PersistedClaims>
                  <!-- Required claims -->
                  <PersistedClaim ClaimTypeReferenceId="email" PartnerClaimType="signInNames.emailAddress" />
                  <PersistedClaim ClaimTypeReferenceId="newPassword" PartnerClaimType="password" />
                  <PersistedClaim ClaimTypeReferenceId="displayName" DefaultValue="unknown" />
                  <PersistedClaim ClaimTypeReferenceId="passwordPolicies" DefaultValue="DisablePasswordExpiration" />

                  <!-- Optional claims. -->
                  <PersistedClaim ClaimTypeReferenceId="givenName" />
                  <PersistedClaim ClaimTypeReferenceId="surname" />
                  <PersistedClaim ClaimTypeReferenceId="custom_employee_id" />
               </PersistedClaims>
               <OutputClaims>
                  <OutputClaim ClaimTypeReferenceId="objectId" />
                  <OutputClaim ClaimTypeReferenceId="newUser" PartnerClaimType="newClaimsPrincipalCreated" />
                  <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />
                  <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
                  <OutputClaim ClaimTypeReferenceId="signInNames.emailAddress" />
               </OutputClaims>
               <IncludeTechnicalProfile ReferenceId="AAD-Common" />
               <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
            </TechnicalProfile>
         </TechnicalProfiles>
      </ClaimsProvider>



      <ClaimsProvider>
         <DisplayName>Local Account SignIn</DisplayName>
         <TechnicalProfiles>
            <TechnicalProfile Id="login-NonInteractive">
               <Metadata>
                  <Item Key="client_id">ProxyIdentityExperienceFrameworkAppId</Item>
                  <Item Key="IdTokenAudience">IdentityExperienceFrameworkAppId</Item>
               </Metadata>
               <InputClaims>
                  <InputClaim ClaimTypeReferenceId="client_id" DefaultValue="3fb15547-7986-416b-b6ba-4d84bee6770a" />
                  <InputClaim ClaimTypeReferenceId="resource_id" PartnerClaimType="resource" DefaultValue="1215af09-c958-4d92-a356-b1316895ff31" />
               </InputClaims>
            </TechnicalProfile>
         </TechnicalProfiles>
      </ClaimsProvider>

      <ClaimsProvider>
         <DisplayName>Local Account</DisplayName>
         <TechnicalProfiles>

            <TechnicalProfile Id="LocalAccountSignUpWithLogonEmail">
               <DisplayName>Email signup</DisplayName>
               <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.SelfAssertedAttributeProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
               <Metadata>
                  <Item Key="IpAddressClaimReferenceId">IpAddress</Item>
                  <Item Key="ContentDefinitionReferenceId">api.localaccountsignup</Item>
               </Metadata>
               <CryptographicKeys>
                  <Key Id="issuer_secret" StorageReferenceId="B2C_1A_TokenSigningKeyContainer" />
               </CryptographicKeys>
               <InputClaims>
                  <InputClaim ClaimTypeReferenceId="email" />
               </InputClaims>
               <OutputClaims>
                  <OutputClaim ClaimTypeReferenceId="objectId" />
                  <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="Verified.Email" Required="true" />
                  <OutputClaim ClaimTypeReferenceId="newPassword" Required="true" />
                  <OutputClaim ClaimTypeReferenceId="reenterPassword" Required="true" />
                  <OutputClaim ClaimTypeReferenceId="executed-SelfAsserted-Input" DefaultValue="true" />
                  <OutputClaim ClaimTypeReferenceId="authenticationSource" />
                  <OutputClaim ClaimTypeReferenceId="newUser" />

                  <!-- Optional claims, to be collected from the user -->
                  <OutputClaim ClaimTypeReferenceId="displayName" />
                  <OutputClaim ClaimTypeReferenceId="givenName" />
                  <OutputClaim ClaimTypeReferenceId="surName" />
                  <OutputClaim ClaimTypeReferenceId="custom_employee_id" />
               </OutputClaims>
               <ValidationTechnicalProfiles>
                  <ValidationTechnicalProfile ReferenceId="AAD-UserWriteUsingLogonEmail" />
               </ValidationTechnicalProfiles>
               <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
            </TechnicalProfile>
         </TechnicalProfiles>
      </ClaimsProvider>

   </ClaimsProviders>

   <!--UserJourneys>
    
    </UserJourneys-->

</TrustFrameworkPolicy>

Answer 1

在自定义策略中使用自定义属性时，您必须在声明类型 ID 前加上extension_ ，以允许在 Azure AD B2C 目录中进行正确的数据映射。

此外，请确保将门户中 b2c-extensions-app 的 Object ID 复制到 ApplicationObjectId，并将 b2c-extensions-app 的应用程序（客户端）ID 正确复制到自定义策略中的客户端 ID。