Konfigurer enkel pålogging med Microsoft Entra ID

Opprett appregistreringer for det egendefinerte nettstedet

For å konfigurere SSO, opprett to separate appregistreringer:

• En registrering av en autentiseringsapp for Microsoft Entra ID-brukerautentisering i agenten din.
• En Canvas-app-registrering for din tilpassede nettside.

Av sikkerhetsgrunner må du ikke bruke den samme appregistreringen på nytt for både agenten og det egendefinerte nettstedet.

1. Hvis du vil opprette en registrering av en godkjenningsapp, følger du instruksjonene i Konfigurer brukergodkjenning med Microsoft Entra ID.

2. Opprett en annen appregistrering som skal fungere som registreringen av canvas-appen.

Legg til nettadresse for tokenutveksling

Bruk hele URI-en som autentiseringsappens registrering eksponerer som token-utvekslings-URL. Hvis du ikke har laget et egendefinert scope, følg først Konfigurer brukerautentisering med Microsoft Entra ID.

1. Gå til Eksponer en API i Azure-portalen på registreringssiden for godkjenningsappen.

2. Velg ikonet Kopier til utklippstavle under Omfang.

3. I Copilot Studio velger du >Sikkerhet< c1> i navigasjonsmenyen under Sikkerhet og deretter Authenticationflisen.

4. For Nettadresse for tokenutveksling (obligatorisk for SSO) limer du inn området du kopierte tidligere.

5. Velg Lagre, og publiser deretter agenten din.

Autoriser canvas-appen til å bruke autentiseringsappens scope

1. I Azure Portal åpner du lerretsappregistreringen og går til Oversikt.

2. Kopier program-ID (klient)-verdien under Essensielt.

3. Åpne godkjenningsappregistreringen, og velg deretter Administrer>Eksponer en API.

4. Velg Legg til et klientprogram under Autoriserte klientprogrammer.

5. I Klient-ID limer du inn klient-ID-en til lerretsappen.

6. Under Autoriserte omfang velger du omfanget du opprettet for tokenutveksling, og velger deretter Legg til app.

Konfigurer registreringen av lerretsappen

1. Åpne lerretsappregistreringen og gå til Autentisering.

2. Velg Legg til en plattform under Plattformkonfigurasjoner, og velg deretter Enkeltsideapp.

3. Skriv inn URL-adressen for nettsiden under OmadresserINGs-URIer. Eksempel: https://www.contoso.com/index.html.

4. Aktiver både ID-tokener (brukes for implisitt flyt og hybridflyt) og Tilgangstokener (brukes for implisitt flyt) i Implisitt tildeling og hybridflyt.

5. Velg Konfigurer.

Konfigurer SSO på nettsiden

Bruk hele Microsoft Entra ID SSO-eksemplaret, inkludert bibliotekene og mellomvaren for Web Chat. Følg eksempelets README og oppdater konfigurasjonsplassholderne i index.html.

1. I Azure-portalen, åpne canvas-appregistreringen din.

2. I Oversikt kopierer du Program-ID (klient) og Katalog-ID (leier).

   

3. Bytt ut eksempelets klient-ID- og leier-ID-plassholdere med verdiene fra lerretsappregistreringen. Ikke bruk autentiseringsappens klient-ID her.

4. Erstatt plassholderen for token-endepunktet med agentens token-endepunkt-URL.

5. Hvis du tilpasser bruker-ID-en, hold den innenfor eksempelets 64-tegnsgrense.

6. Lagre endringene.

7. Host siden på omdirigerings-URL-en du registrerte. Logg inn ved å bruke innloggingsknappen på eksemplet, og start deretter en samtale som krever autentisering.

   Når token-utvekslingen lykkes, ber ikke agenten deg logge inn igjen eller kopiere en valideringskode inn i chatten. Hvis den gjør det, sjekk canvas app-identifikatorer, autorisert scope, tokenutvekslings-URL og agentpublisering.

   Note

   Eksempelets påloggingsknapp etablerer den første påloggede økten. I produksjon må appen din håndtere den første påloggingen. La reservepåloggingskortet være tilgjengelig hvis tokenutvekslingen mislykkes.

Følgende fremgangsmåter konfigurerer et egendefinert nettstedslerret for en agent opprettet i Teams-planen. De er ikke konfigurasjonsfremgangsmåten for Microsoft Teams-kanalen.

Teknisk oversikt

Enkel pålogging i et egendefinert lerret bruker følgende tokenutvekslingsflyt:

1. Agentbrukeren skriver inn et uttrykk som utløser et påloggingsemne. Påloggingsemnet er utformet for å logge brukeren på og bruke brukerens godkjente token (User.AccessToken-variabel).

2. Copilot Studio sender en påloggingsmelding slik at brukeren kan logge på ved hjelp av den konfigurerte identitetsleverandøren.

3. Agentens kundelerret fanger opp påloggingsledeteksten og ber om et på vegne av (OBO)-tokenet fra Microsoft Entra ID. Lerretet sender tokenet til agenten.

4. Agenten bytter OBO-token mot en tilgangstoken og lagrer den i User.AccessToken. Variabelen User.IsLoggedIn angis også på dette tidspunktet.

Opprette en appregistrering i Microsoft Entra ID for det egendefinerte lerretet

For å konfigurere SSO trenger du to separate appregistreringer:

• En for agentens brukergodkjenning med Microsoft Entra ID.
• Én for enkel pålogging i det egendefinerte lerretet.

Opprett en appregistrering for agentens arbeidsflate

1. Logg deg på Azure-portalen.

2. Gå til App registrations, enten ved å velge ikonet eller søke i det øverste søkefeltet.

3. Velg Ny registrering.

4. Angi et navn på registreringen. Bruk navnet på agenten du registrerer lerretet for, og ta med «lerret» for å skille det fra appregistreringen for godkjenning.

   Hvis agenten for eksempel kalles «Contoso-salgshjelp», kan du kalle appregistreringen «ContosoSalesCanvas» eller noe lignende.

5. Under Støttede kontotyper velger du Kontoer i en hvilken som helst organisasjonsleier (enhver Microsoft Entra ID-katalog – multi-instans) og personlige Microsoft-kontoer (f.eks. skype, XBOX).

6. La delen URI for omdirigering være tom nå, siden du skriver inn informasjonen i de neste trinnene. Velg Registrer.

7. Når registreringen er fullført, åpnes den på Oversikt-siden. Gå til Manifest. Bekreft at accessTokenAcceptedVersion er satt til 2. Hvis den ikke gjør det, endrer du den til 2 og velger deretter Lagre.

Legg til URI for omdirigering

1. Når registreringen er åpen, går du til Godkjenning og velger deretter Legg til en plattform.

2. Velg Nett i konfigurer plattformer-panelet.

3. Under URI-er for omdirigering legger du til den fullstendige nettadressen til siden der nettpratlerretet er driftet. Under Implisitt tillatelse merker du av i boksene ID-tokener og Tilgangstokener.

4. Velg Konfigurer for å bekrefte endringene.

5. Gå til API-tillatelser. Velg Gi administratorsamtykke for <ditt leiernavn> og deretter Ja.

   Important

   For å unngå at brukerne må samtykke til hvert enkelt program, må noen som har fått tilordnet minst rollen Programadministrator eller Skyprogramadministrator gi samtykke for hele leieren til programregistreringene.

Definer et egendefinert omfang for agenten

Angi et egendefinert omfang på godkjenningsappregistreringen, og godkjenn lerretsappen til å bruke det. Finn ut mer om omfang i Utviklerordliste for Microsofts identitetsplattform.

Dette trinnet oppretter en klareringsrelasjon mellom registreringen av godkjenningsappen og appregistreringen for det egendefinerte lerretet.

1. Åpne appregistreringen som du opprettet da du konfigurerte godkjenning.

2. Gå til API-tillatelser og sørg for at du legger til riktige tillatelser for agenten din. Velg Gi administratorsamtykke for <ditt leiernavn> og deretter Ja.

   Important

   For å unngå at brukerne må samtykke til hvert enkelt program, må noen som har fått tilordnet minst rollen Programadministrator eller Skyprogramadministrator gi samtykke for hele leieren til programregistreringene.

3. Gå til Vis en API, og velg Legg til et omfang.

4. Skriv inn et navn for omfanget, sammen med visningsinformasjonen som brukerne ser når de kommer til SSO-skjermen. Velg Legg til omfang.

5. Velg Legg til et klientprogram.

6. Angi Program-ID (klient) fra Oversikt-siden for registreringen av lerretsapp, i Klient-ID-feltet. Merk av for det oppførte omfanget du opprettet.

7. Velg Legg til program.

Konfigurer autentisering i Copilot Studio for SSO

Bruk Token Exchange URL i Copilot Studio-autentiseringskonfigurasjonen for å bytte OBO-token mot den forespurte tilgangstoken gjennom Bot Framework.

Copilot Studio kaller inn Microsoft Entra ID for å utføre den faktiske utvekslingen.

1. Logg deg på Copilot Studio.

2. Åpne agenten du vil konfigurere.

3. Velg Sikkerhet under Innstillinger på navigasjonsmenyen. Velg deretter Godkjenning-kortet.

4. I Nettadresse for tokenutveksling angir du den fullstendige URI-en fra siden Vis en API for godkjenningsappregistreringen. Formatet er api://<AuthenticationAppClientId>/<ScopeName>.

5. Velg Lagre, og publiser deretter agentinnholdet.

Konfigurer din egendefinerte canvas-HTML for SSO

Bruk det komplette Microsoft Entra ID SSO-eksemplaret i stedet for å kombinere delvise skriptfragmenter. Eksempelet inkluderer oppsettet av Microsoft Authentication Library (MSAL), mellomvare for Web Chat og håndtering av token-utveksling.

1. Følg eksempelets README for å konfigurere lerretsappens program-ID (klient) og katalog-ID (leier).

2. Konfigurer URL-en til token-endepunktet for agenten din. Ikke bygg et token-endepunkt ut fra agent-ID-en.

3. Behold påloggingskortet som reserve når tokeninnhenting i bakgrunnen eller tokenutveksling mislykkes.

4. Host siden på omdirigerings-URL-en du registrerte. Logg inn ved å bruke knappen i eksemplet, og utløs deretter et agentemne som krever autentisering. Bekreft at vellykket tokenutveksling unngår en andre innloggingsprompt eller valideringskode.

Fullstendig eksempelkode

Lær mer på Microsoft Entra ID SSO-eksempelet. Bruk appens registrerings- og konfigurasjonsinstruksjoner som matcher versjonen av eksempelet du distribuerer.