Konfigurer enkeltlogon med Microsoft Entra ID

Oprette appregistreringer til dit brugerdefinerede websted

For at konfigurere SSO skal du oprette to separate app-registreringer:

• En registrering af godkendelsesapp til Microsoft Entra ID-brugergodkendelse i din agent
• En canvas-app registrering til din tilpassede webside.

Af sikkerhedsmæssige årsager må du ikke genbruge den samme appregistrering for både din agent og dit brugerdefinerede websted.

1. Hvis du vil oprette en registrering af en godkendelsesapp, skal du følge vejledningen i Konfigurer brugergodkendelse med Microsoft Entra-id.

2. Opret endnu en appregistrering, der fungerer som registrering af din lærredapp.

Tilføj URL-adressen til tokenudveksling

Brug den fulde scope-URI, som godkendelsesappens registrering eksponerer som tokenudvekslings-URL'en. Hvis du ikke har oprettet et brugerdefineret scope, så følg Konfigurér brugergodkendelse med Microsoft Entra ID først.

1. Gå til Expose a API på Azure portalen på siden til registrering af godkendelsesappen.

2. Under Omfang skal du vælge ikonet Kopiér til udklipsholder.

3. I Copilot Studio skal du i navigationsmenuen under Indstillinger vælge Sikkerhed og derefter vælge feltet Authentication.

4. Indsæt det omfang, du kopierede tidligere, i URL-adresse til tokenudveksling (kræves til SSO).

5. Vælg Gem, og publicér derefter din agent.

Giv Canvas-appen tilladelse til at bruge autentificeringsappens scope

1. I Azure-portalen åbner du din canvas-app-registrering og går til Oversigt.

2. Kopiér program-id'et (klient)-værdien under Essentials.

3. Åbn din appregistrering for godkendelse, og vælg derefter Administrer>Vis en API.

4. Under Godkendte klientprogrammer skal du vælge Tilføj et klientprogram.

5. I Client ID indsætter du canvas-appens klient-ID.

6. Under Autoriserede scopes vælger du det scope, du har oprettet til token-udvekslingen, og vælger derefter Add application.

Konfigurer registrering af canvas-app

1. Åbn registreringen af din lærredapp, og gå til Godkendelse.

2. Vælg Tilføj en platform under Platformskonfigurationer, og vælg derefter enkeltsidet app.

3. Under Omdirigerings-URI'er skal du angive URL-adressen til din webside. For eksempel https://www.contoso.com/index.html.

4. I sektionen Implicit tilladelse og hybridflow skal du slå både Adgangstokener (bruges til implicitte flows) og Id-tokener (bruges til implicitte og implicitte flow).

5. Vælg Konfigurer.

Konfigurere SSO på websiden

Brug det komplette Microsoft Entra ID SSO-eksempel, inklusive dets biblioteker og Webchat-middleware. Følg eksemplets README og opdater konfigurationspladsholderne i index.html.

1. I Azure-portalen skal du åbne din canvas-app-registrering.

2. På Oversigt, kopiér Program (klient)-id og Mappe (lejer) id.

   

3. Erstat eksemplarets klient-id og lejer-id-pladsholdere med værdierne fra lærredappens registrering. Brug ikke autentificeringsappens klient-ID her.

4. Erstat token-endpoint-pladsholderen med agentens token-endpoint-URL.

5. Hvis du tilpasser bruger-ID'et, så hold det inden for eksempelets 64-tegns grænse.

6. Gem dine ændringer.

7. Host siden på den omdirigerings-URL, du har registreret. Log ind ved at bruge eksemplarets login-knap, og start derefter en samtale, der kræver autentificering.

   Når token-udvekslingen lykkes, beder agenten dig ikke om at logge ind igen eller kopiere en valideringskode ind i chatten. Hvis det er tilfældet, så tjek canvas-app-identifikatorerne, autoriseret scope, token exchange URL og agentudgivelse.

   Notat

   Prøvens log på-knap fastlægger den indledende session, hvor brugeren er logget på. I produktion skal din app håndtere den indledende login. Hav reserve-loginkortet tilgængeligt, hvis token-udvekslingen fejler.

Følgende procedurer konfigurerer et brugerdefineret webstedslærred til en agent, der er oprettet i Teams-planen. De er ikke konfigurationsprocedurerne for Microsoft Teams-kanalen.

Teknisk oversigt

SSO i et tilpasset canvas bruger følgende token-udvekslingsflow:

1. Agentbrugeren angiver et udtryk, der udløser et logon-emne. Emnet til log ind er udviklet til at logge brugeren på og anvende brugerens godkendte token (User.AccessToken-variablen).

2. Copilot Studio sender en logonprompt for at give brugeren mulighed for at logge på ved hjælp af deres konfigurerede identitetsudbyder.

3. Agentens custom canvas opfanger logonprompten og anmoder om et OBO-token (på vegne af) fra Microsoft Entra ID. Lærredet sender tokenet til agenten.

4. Agenten bytter OBO-tokenet for et adgangstoken og gemmer det i User.AccessToken. User.IsLoggedIn-variablen angives også på nuværende tidspunkt.

Opret en appregistrering i Microsoft Entra ID til dit brugerdefinerede lærred

For at konfigurere SSO skal du bruge to separate app-registreringer:

• En til agentens brugergodkendelse med Microsoft Entra ID.
• En til SSO i dit tilpassede lærred.

Opret en appregistrering for agentens lærred

1. Log på Azure-portalen.

2. Gå til App registrations enten ved at vælge ikonet eller søge i den øverste søgelinje.

3. Vælg Ny registrering.

4. Angiv et navn for registreringen. Brug navnet på den agent, hvis lærred du registrerer, og inkludere "lærred" for at hjælpe med at adskille det fra app-registreringen til godkendelse.

   Hvis din agent f.eks. hedder "Contoso Sales hjælp", kan du navngive app-registreringen som "ContosoSalesCanvas" eller lignende.

5. Under Understøttede kontotyper skal du vælge Konti i en hvilken som helst organisationslejer (enhver Microsoft Entra ID-mappe – multilejer) og personlige Microsoft-konti (for eksempel skype, XBOX).

6. Lad sektionen URL-adresse til omdirigering være tom indtil videre, da du kan angive de pågældende oplysninger i de næste trin. Vælg Registrer.

7. Når registreringen er fuldført, åbnes den på siden Oversigt. Gå til Manifest. Kontrollér, at accessTokenAcceptedVersion er angivet til 2. Hvis den ikke er det, skal du ændre den til 2 og derefter vælge Gem.

Tilføj URL-adressen til omdirigering

1. Når registreringen er åben, skal du gå til Godkendelse og derefter vælge Tilføj en platform.

2. Vælg Web i panelet Konfigurer platforme.

3. Under URL-adresser til omdirigering skal du tilføje den fulde URL-adresse til den side, som chatlærredet hostes på. Under sektionen Implicit tilladelse skal du markere afkrydsningsfelterne Id-tokener og Adgangstokener.

4. Vælg Konfigurer for at bekræfte dine ændringer.

5. Gå til API-tilladelser. Vælg Tildel administratorsamtykke til <dit lejer navn>, og klik derefter på Ja.

   Vigtig

   Hvis du vil undgå, at brugere skal give samtykke til de enkelte applikationer, kan en person med mindst rollen som programadministrator eller Cloud-programadministrator give samtykke for hele lejeren til dine appregistreringer.

Definer et brugerdefineret omfang til din agent

Definer et brugerdefineret scope i autentificeringsappens registrering, og autoriser canvas-appen til at bruge det. Lær mere om scopes i Microsoft-identitetsplatform udviklerordliste.

Dette trin opretter et tillidsforhold mellem app-registreringen for godkendelse og app-registreringen for det brugerdefinerede lærred.

1. Åbn den app-registrering, der blev oprettet, da du konfigurerede godkendelsen.

2. Gå til API-tilladelser og sørg for, at du tilføjer de korrekte tilladelser til din agent. Vælg Tildel administratorsamtykke til <dit lejer navn>, og klik derefter på Ja.

   Vigtig

   Hvis du vil undgå, at brugere skal give samtykke til de enkelte applikationer, kan en person med mindst rollen som programadministrator eller Cloud-programadministrator give samtykke for hele lejeren til dine appregistreringer.

3. Gå til Vis et API, og vælg Tilføj et område.

4. Angiv et navn til området sammen med de viste oplysninger, som brugerne får vist, når de kommer til SSO-skærmen. Vælg Tilføj område.

5. Vælg Tilføj et klientprogram.

6. Angiv Applikations-id (klient) fra siden Oversigt for registrering af lærredappen i feltet Klient-id. Markér afkrydsningsfeltet for det viste område, du har oprettet.

7. Vælg Tilføj program.

Konfigurer godkendelse i Copilot Studio til SSO

Brug Token exchange URL i Copilot Studio-autentificeringskonfigurationen til at udveksle OBO-tokenet for det anmodede adgangstoken via Bot Framework.

Copilot Studio kalder til Microsoft Entra ID for at udføre den faktiske udveksling.

1. Log ind i Copilot Studio.

2. Åbn den agent, du vil konfigurere.

3. Vælg Sikkerhed under Indstillinger i navigationsmenuen. Vælg derefter kortet Godkendelse.

4. Angiv det fulde omfang af URI'en fra siden Vis en API for godkendelsesappens registrering i feltet URL-adresse til tokenudveksling. Formatet er api://<AuthenticationAppClientId>/<ScopeName>.

5. Vælg Gem, og publicer derefter agentens indhold.

Konfigurér din brugerdefinerede canvas-HTML til SSO

Brug det komplette Microsoft Entra ID SSO-eksempel i stedet for at kombinere delvise scriptfragmenter. Eksemplet inkluderer Microsoft Authentication Library (MSAL)-opsætningen, Webchat-middleware og håndtering af token-udveksling.

1. Følg eksemplets README for at konfigurere lærredappens Program (klient)-id og Mappe (Lejer)-id.

2. Konfigurer token-endpoint-URL'en for din agent. Byg ikke et token-endpoint ud fra agent-ID'et.

3. Bevar loginkortet som reserve, når stille tokenerhvervelse eller tokenudveksling fejler.

4. Host siden på den omdirigerings-URL, du har registreret. Log ind ved at bruge knappen i eksemplet, og udløs derefter et agenttopic, der kræver autentificering. Bekræft, at en vellykket tokenudveksling undgår en anden login-prompt eller bekræftelseskode.

Komplet eksempelkode

Læs mere i Microsoft Entra ID SSO-eksemplet. Brug appens registrerings- og konfigurationsinstruktioner, der matcher den version af det sample, du deployerer.