Definiera en teknisk profil för multifaktorautentisering för Microsoft Entra ID i en anpassad Azure AD B2C-princip

Azure Active Directory B2C (Azure AD B2C) ger stöd för att verifiera ett telefonnummer med hjälp av en verifieringskod eller verifiera en TOTP-kod (Time-based One-Time Password).

Protokoll

Attributet Namn för protokollelementet måste anges till Proprietary. Hanterarattributet måste innehålla det fullständigt kvalificerade namnet på protokollhanterarsammansättningen som används av Azure AD B2C:

Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null

I följande exempel visas en teknisk profil för Microsoft Entra ID multifaktorautentisering:

<TechnicalProfile Id="AzureMfa-SendSms">
    <DisplayName>Send Sms</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    ...

Verifiera telefonläget

I läget för att verifiera telefon genererar och skickar den tekniska profilen en kod till ett telefonnummer och verifierar sedan koden. Den tekniska profilen för multifaktorautentisering för Microsoft Entra ID kan också returnera ett felmeddelande. Den tekniska valideringsprofilen validerar användardata innan användarresan fortsätter. Med den tekniska verifieringsprofilen visas ett felmeddelande på en självsäkrad sida. Den tekniska profilen:

• Tillhandahåller inte något gränssnitt för att interagera med användaren. I stället anropas användargränssnittet från en självkontrollerad teknisk profil eller en visningskontroll som en teknisk valideringsprofil.
• Använder Microsoft Entra multifaktorautentiseringstjänst för att generera och skicka en kod till ett telefonnummer och verifierar sedan koden.
• Validerar ett telefonnummer via textmeddelanden.

Den tekniska profilen innehåller metoder för att skicka verifieringskoden via SMS och verifiera koden. Följande skärmbild visar flödet för telefonverifieraren.

Skicka SMS

För att verifiera en telefon genererar det första steget en kod och skickar den till telefonnumret. Följande alternativ kan konfigureras för det här steget.

Indataanspråk

Elementet InputClaims innehåller en lista över anspråk som ska skickas till Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Utdataanspråk

Microsoft Entra protokollprovidern för multifaktorautentisering returnerar inga utgående anspråk, så du behöver inte ange utdataanspråk.

Metainformation

Elementet Metadata innehåller följande attribut.

Gränssnittselement

Följande metadata kan användas för att konfigurera de felmeddelanden som visas när SMS-fel skickas. Metadata ska konfigureras i den självsäkra tekniska profilen. Felmeddelandena kan lokaliseras.

Exempel: skicka ett SMS

I följande exempel visas en teknisk profil för Microsoft Entra ID multifaktorautentisering som används för att skicka en kod via SMS.

<TechnicalProfile Id="AzureMfa-SendSms">
  <DisplayName>Send Sms</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">OneWaySMS</Item>
  </Metadata>
  <InputClaimsTransformations>
    <InputClaimsTransformation ReferenceId="CombinePhoneAndCountryCode" />
    <InputClaimsTransformation ReferenceId="ConvertStringToPhoneNumber" />
  </InputClaimsTransformations>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
    <InputClaim ClaimTypeReferenceId="fullPhoneNumber" PartnerClaimType="phoneNumber" />
  </InputClaims>
</TechnicalProfile>

Verifiera koden

Verifieringskodsteget verifierar en kod som skickas till användaren. Följande alternativ kan konfigureras för det här steget.

Indataanspråk

Elementet InputClaims innehåller en lista över anspråk som ska skickas till Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Utdataanspråk

Microsoft Entra protokollprovidern för multifaktorautentisering returnerar inga utgående anspråk, så du behöver inte ange utdataanspråk.

Metainformation

Elementet Metadata innehåller följande attribut.

Gränssnittselement

Följande metadata kan användas för att konfigurera felmeddelandena som visas vid kodverifieringsfel. Metadata ska konfigureras i den självsäkra tekniska profilen. Felmeddelandena kan lokaliseras.

Exempel: verifiera en kod

I följande exempel visas en teknisk profil för Microsoft Entra ID multifaktorautentisering som används för att verifiera koden.

<TechnicalProfile Id="AzureMfa-VerifySms">
    <DisplayName>Verify Sms</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    <Metadata>
        <Item Key="Operation">Verify</Item>
    </Metadata>
    <InputClaims>
        <InputClaim ClaimTypeReferenceId="phoneNumber" PartnerClaimType="phoneNumber" />
        <InputClaim ClaimTypeReferenceId="verificationCode" />
    </InputClaims>
</TechnicalProfile>

TOTP-läge

I det här läget måste användaren installera en autentiseringsapp som stöder tidsbaserad TOTP-verifiering (One-Time Password), till exempel Microsoft Authenticator-appen, på en enhet som de äger.

Under den första registreringen eller inloggningen skannar användaren en QR-kod, öppnar en djuplänk eller anger koden manuellt med hjälp av autentiseringsappen. Om du vill verifiera TOTP-koden använder du de tekniska profilerna Börja verifiera OTP följt av Verifiera tekniska profiler för TOTP-validering .

För efterföljande inloggningar använder du metoden Hämta tillgängliga enheter för att kontrollera om användaren redan har registrerat sin enhet. Om antalet tillgängliga enheter är större än noll indikerar detta att användaren har registrerat sig tidigare. I det här fallet måste användaren skriva in TOTP-koden som visas i autentiseringsappen.

Den tekniska profilen:

• Tillhandahåller inte något gränssnitt för att interagera med användaren. I stället anropas användargränssnittet från en självkontrollerad teknisk profil med TOTP-visningskontrollerna.
• Använder Microsoft Entra multifaktorautentiseringstjänst för att verifiera TOTP-koden.
• Kontrollerar om en användare redan har registrerat sin enhet.

Följande skärmbild visar ett TOTP-registrerings- och verifieringsflöde. Det börjar med att kontrollera antalet tillgängliga enheter. Om antalet tillgängliga enheter är noll går användaren igenom orkestreringssteget för registrering. Annars går användaren igenom verifieringsorkestreringssteget.

Hämta tillgängliga enheter

Läget Hämta tillgänglig enhet kontrollerar antalet enheter som är tillgängliga för användaren. Om antalet tillgängliga enheter är noll indikerar detta att användaren inte har registrerat sig ännu.

Indataanspråk

Elementet InputClaims innehåller en lista över anspråk som ska skickas till Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Utdataanspråk

Elementet utgående anspråk innehåller en lista över anspråk som ska returneras från Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Metainformation

Elementet Metadata innehåller följande attribut.

Exempel: Hämta tillgängliga enheter

I följande exempel visas en teknisk profil för Microsoft Entra ID multifaktorautentisering som används för att hämta antalet tillgängliga enheter.

<TechnicalProfile Id="AzureMfa-GetAvailableDevices">
  <DisplayName>Get Available Devices</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">GetAvailableDevices</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="numberOfAvailableDevices" />
  </OutputClaims>
</TechnicalProfile>

Börja verifiera TOTP

TOTP för att börja verifiera startar verifieringsprocessen. Den här tekniska valideringsprofilen anropas från den självsäkra tekniska profilen som presenterar och verifierar TOTP-koder. Den här tekniska valideringsprofilen måste följas av ett anrop för att verifiera tekniska profiler för TOTP-validering .

Indataanspråk

Elementet InputClaims innehåller en lista över anspråk som ska skickas till Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Utdataanspråk

Microsoft Entra protokollprovidern för multifaktorautentisering returnerar inga utgående anspråk, så du behöver inte ange utdataanspråk.

Metainformation

Elementet Metadata innehåller följande attribut.

Exempel: Börja verifiera TOTP

I följande exempel visas en teknisk profil för Microsoft Entra ID multifaktorautentisering som används för att påbörja TOTP-verifieringsprocessen.

<TechnicalProfile Id="AzureMfa-BeginVerifyOTP">
  <DisplayName>Begin verify TOTP"</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">BeginVerifyOTP</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="secretKey" />
    <InputClaim ClaimTypeReferenceId="objectId" />
    <InputClaim ClaimTypeReferenceId="userPrincipalName" />
  </InputClaims>
</TechnicalProfile>

Verifiera TOTP

Metoden verify TOTP verifierar en TOTP-kod. Den här tekniska valideringsprofilen anropas från den självsäkra tekniska profilen som presenterar och verifierar TOTP-koder. Den här tekniska valideringsprofilen måste föregås av ett anrop till de tekniska profilerna för Börja verifiera TOTP-validering .

Indataanspråk

Elementet InputClaims innehåller en lista över anspråk som ska skickas till Microsoft Entra multifaktorautentisering. Du kan också mappa namnet på ditt anspråk till det namn som definierats i den tekniska MFA-profilen.

Utdataanspråk

Microsoft Entra protokollprovidern för multifaktorautentisering returnerar inga utgående anspråk, så du behöver inte ange utdataanspråk.

Metainformation

Elementet Metadata innehåller följande attribut.

Exempel: Verifiera TOTP

I följande exempel visas en teknisk profil för Microsoft Entra-ID multifaktorautentisering som används för att verifiera en TOTP-kod.

<TechnicalProfile Id="AzureMfa-VerifyOTP">
  <DisplayName>Verify OTP</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureMfaProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">VerifyOTP</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="otpCode" />
  </InputClaims>
</TechnicalProfile>

Nästa steg

• Aktivera multifaktorautentisering i Azure Active Directory B2C