Включить федерацию с Azure AD, когда SP перенаправляет на Azure B2C

Question

Я настроил Azure B2 C в качестве IdP для приложения, которое использует SAML 2.0 для федерации. В настоящее время пользовательский путь ведет пользователя на страницу входа, где он может войти в систему с локальной учетной записью B2 C. Проблема в том, что у меня есть федеративные пользователи в клиенте B2 C, и у них, конечно, не будет паролей в B2 C.

Когда поставщик услуг перенаправляет пользователя на B2 C (IdP ) для аутентификации, возможно ли наличие ClaimsProviderSelection (кнопка) для Azure AD (или любого социального IdP) на странице входа, чтобы пользователь мог аутентифицироваться с помощью учетной записи Federated Azure AD или учетной записи социального провайдера вместо локальной учетной записи B2 C? Я считаю, что эта «двойная федерация» невозможна / не поддерживается.

Какие у меня варианты?

Answer 1

Проблема, с которой я столкнулся, заключалась в том, чтобы выяснить, как связать политику, которую я создал для входа с использованием Azure Ad в качестве Idp, с другой, созданной мной для SAML.

пользовательский поток регистрации настраиваемой политики (назовите это SignUpOrSignInPolicyA) с федерацией Azure AD (изначально я использовал только встроенный поток входа и регистрации с Azure AD IdP). Затем в настраиваемой политике для потока пользователей входа в систему, который использует SAML (назовите это SignUpOrSignInPolicyB), я добавил путь пользователя из предыдущей политики, а также сослался на него в тегах проверяющей стороны. Примерно так:

<UserJourneys>
   <UserJourney Id="SignUpOrSignInPolicyA">
   ...

   </UserJourney>
<UserJourneys>

<RelyingParty>
    <DefaultUserJourney ReferenceId=SignupSigninPolicyA/>
    ...
<RelyingParty>

Итак, после перенаправления из приложения SAML в B2 C для аутентификации я теперь могу использовать Azure федерацию AD вместо локальной учетной записи.

Answer 2

Думаете, я неправильно понял проблему, но если вы просто добавите поставщиков социальных сетей и / или AAD и настроите путь пользователя для этих поставщиков, они появятся как выбираемые IdP? См. Здесь - https://docs.microsoft.com/en-us/azure/active-directory-b2c/tutorial-add-identity-providers

Если вы не имеете в виду «привязку учетной записи», которая полностью поддерживается. См. https://github.com/Azure-Samples/active-directory-b2c-advanced-policies/tree/master/account-linking.