Eenmalige aanmelding configureren met Microsoft Entra ID

App-registraties maken voor uw aangepaste website

Om SSO te configureren, maak je twee aparte app-registraties:

• Het registreren van een authenticatie-app voor Microsoft Entra ID-gebruikersauthenticatie in je agent.
• Een Canvas-app registratie voor je aangepaste webpagina.

Gebruik om veiligheidsredenen niet dezelfde app-registratie voor zowel uw agent als uw aangepaste website opnieuw.

1. Als u een registratie van een verificatie-app wilt maken, volgt u de instructies in Gebruikersverificatie configureren met Microsoft Entra-id.

2. Maak een tweede app-registratie om te fungeren als uw canvas-app-registratie.

URL voor uitwisselen van token toevoegen

Gebruik de volledige scope-URI die de registratie van de authenticatie-app als de token exchange URL blootlegt. Als je geen aangepaste scope hebt gemaakt, volg dan eerst Gebruikersauthenticatie configureren met Microsoft Entra ID.

1. Ga in Azure Portal op de registratiepagina van uw verificatie-app naar Een API beschikbaar maken.

2. Selecteer onder Scopes het pictogram Kopiëren naar klembord.

3. Selecteer in Copilot Studio in het navigatiemenu onder SettingsSecurity en selecteer vervolgens de tegel Authentication.

4. Plak bij URL voor tokenuitwisseling (vereist voor SSO) het bereik dat u eerder hebt gekopieerd.

5. Selecteer Opslaan en publiceer vervolgens je agent.

Geef de canvas-app toestemming om de scope van de authenticatie-app te gebruiken

1. Open in het Azure-portaal je Canvas-appregistratie en ga naar Overzicht.

2. Kopieer de waarde Client-id van toepassing onder Essentials.

3. Open je app-registratie voor authenticatie en selecteer vervolgens Beheer>Een API beschikbaar maken.

4. Selecteer onder Geautoriseerde clienttoepassingen de optie Een clienttoepassing toevoegen.

5. Plak in Client ID de client ID van de canvas-app.

6. Selecteer onder Geautoriseerde scopes de scope die je hebt aangemaakt voor tokenuitwisseling en selecteer vervolgens Toepassing toevoegen.

Uw registratie voor een canvas-app configureren

1. Open je Canvas-app-registratie en ga naar Authenticatie.

2. Selecteer onder Platformconfiguraties de optie Een platform toevoegen en vervolgens SPA.

3. Voer onder Omleidings-URI's de URL voor uw webpagina in. Bijvoorbeeld: https://www.contoso.com/index.html.

4. Schakel onder de sectie Impliciete toekenning en hybride stromen zowel Toegangstokens (gebruikt voor impliciete stromen) als Id-tokens (gebruikt voor impliciete en hybride stromen) in.

5. Selecteer Configureren.

SSO configureren op uw webpagina

Gebruik het volledige Microsoft Entra ID SSO-voorbeeld, inclusief de bibliotheken en Webchat-middleware. Volg de README van het voorbeeld en werk de configuratie-placeholders bij in index.html.

1. Open in het Azure-portaal je Canvas-appregistratie.

2. Kopieer in Overzicht de Application (client) ID en de Directory (tenant) ID.

   

3. Vervang de client-ID- en tenant-ID-plaatshouders van het voorbeeld door de waarden uit de canvas-app-registratie. Gebruik hier niet het client-ID van de authenticatie-app.

4. Vervang de tijdelijke tijdelijke aanduiding van het token-eindpunt door de token endpoint-URL van de agent.

5. Als je de gebruikers-ID aanpast, houd deze dan binnen de limiet van 64 tekens.

6. Sla uw wijzigingen op.

7. Host de pagina op de redirect-URL die je hebt geregistreerd. Log in via de aanmeldknop van het voorbeeld en begin vervolgens een gesprek dat authenticatie vereist.

   Wanneer de token-uitwisseling slaagt, vraagt de agent je niet om je opnieuw aan te melden of een validatiecode in de chat te kopiëren. Als dat zo is, controleer dan de canvas-app-identificaties, geautoriseerde scope, token-uitwisselings-URL en agentpublicatie.

   Note

   De aanmeldknop van het voorbeeld brengt de eerste aangemelde sessie tot stand. In productie moet je app dat eerste aanmelden beheren. Houd de fallback-inlogkaart beschikbaar als de tokenruil faalt.

De volgende procedures configureren een aangepast websitecanvas voor een agent die is aangemaakt in het Teams-plan. Dit is niet de configuratieprocedure voor het Microsoft Teams-kanaal.

Technisch overzicht

SSO in een aangepast canvas gebruikt de volgende token-uitwisselingsflow:

1. De agentgebruiker voert een zin in die een aanmeldingsonderwerp activeert. Het aanmeldingsonderwerp is om de gebruiker aan te melden en het geverifieerde token (User.AccessToken-variabele) van de gebruiker te gebruiken.

2. Copilot Studio verzendt een aanmeldingsprompt zodat de gebruiker zich kan aanmelden met behulp van de geconfigureerde id-provider.

3. Het custom canvas van de agent onderschept de aanmeldingsprompt en vraagt namens de gebruiker een OBO-token aan bij Microsoft Entra ID. Het canvas stuurt het token naar de agent.

4. De agent ruilt het OBO-token in voor een toegangstoken en slaat deze op in User.AccessToken. De variabele User.IsLoggedIn wordt nu ook ingesteld.

Een app-registratie maken in Microsoft Entra ID voor uw aangepaste canvas

Om SSO te configureren, heb je twee aparte app-registraties nodig:

• Eén voor de gebruikersauthenticatie van je agent met Microsoft Entra ID.
• Eén voor SSO in je aangepaste canvas.

Een app-registratie maken voor het canvas van de agent

1. Meld u aan bij het Azure-portaal.

2. Ga naar App-registraties door het pictogram te selecteren of in de bovenste zoekbalk te zoeken.

3. Selecteer Nieuwe registratie.

4. Geef een naam op voor de registratie. Gebruik de naam van de agent waarvan u het canvas registreert en voeg canvas toe om deze te scheiden van de app-registratie voor verificatie.

   Als uw agent bijvoorbeeld Contoso-verkoophulp heet, kunt u de app-registratie een naam geven als ContosoSalesCanvas of iets soortgelijks.

5. Selecteer onder Ondersteunde accounttypen de optie Accounts in elke tenant van een organisatie (elke Microsoft Entra ID-directory - multitenant) en persoonlijke Microsoft-accounts (bijvoorbeeld Skype, XBOX).

6. Laat de sectie Omleidings-URI leeg voor nu, aangezien u die gegevens in de volgende stappen invoert. Selecteer Registreren.

7. Zodra de registratie is voltooid, wordt de pagina Overzicht geopend. Ga naar Manifest. Bevestig dat accessTokenAcceptedVersion is ingesteld op 2. Als dit niet het geval is, wijzigt u dit in 2 en selecteert u vervolgens Opslaan.

De omleidings-URL toevoegen

1. Ga met de registratie geopend naar Verificatie en selecteer vervolgens Een platform toevoegen.

2. Selecteer Web in het deelvenster Platformen configureren.

3. Voeg onder Omleidings-URI's de volledige URL toe voor de pagina waar uw chatcanvas wordt gehost. Onder de sectie Impliciete toewijzing schakelt u de selectievakjes Id-tokens en Toegangstokens in.

4. Selecteer Configureren om uw wijzigingen te bevestigen.

5. Ga naar API-machtigingen. Kies Geef toestemming als beheerder voor <uw tenantnaam> en Ja.

   Important

   Als u wilt voorkomen dat gebruikers voor elke toepassing toestemming moeten geven, kan iemand aan wie ten minste de rol van toepassingsbeheerder of cloudtoepassingsbeheerder is toegewezen, tenantbrede toestemming verlenen aan uw app-registraties.

Een aangepast bereik voor uw agent definiëren

Definieer een aangepaste scope op de registratie van de authenticatie-app en geef de canvas-app toestemming om deze te gebruiken. Lees meer over scopes in de ontwikkelaarswoordenlijst van het Microsoft identity platform.

In deze stap maakt u een vertrouwensrelatie tussen de verificatieapp-registratie voor verificatie en de app-registratie voor uw aangepaste canvas.

1. Open de app-registratie die u hebt gemaakt bij het configureren van verificatie.

2. Ga naar API-permissies en zorg dat je de juiste rechten voor je agent toevoegt. Kies Geef toestemming als beheerder voor <uw tenantnaam> en Ja.

   Important

   Als u wilt voorkomen dat gebruikers voor elke toepassing toestemming moeten geven, kan iemand aan wie ten minste de rol van toepassingsbeheerder of cloudtoepassingsbeheerder is toegewezen, tenantbrede toestemming verlenen aan uw app-registraties.

3. Ga naar Een API beschikbaar maken en selecteer Een bereik toevoegen.

4. Voer een naam in voor het bereik, samen met de weergavegegevens die gebruikers zien wanneer ze naar het SSO-scherm komen. Selecteer Voeg bereik toe.

5. Selecteer Een clienttoepassing toevoegen.

6. Geef de toepassings-id (client) van de pagina Overzicht voor de registratie van de canvas-app op in het veld Klant-id. Vink het selectievakje aan voor de vermelde scope die u heeft aangemaakt.

7. Selecteer Toepassing toevoegen.

Authenticatie configureren in Copilot Studio voor SSO

Gebruik de Token exchange URL in de Copilot Studio-authenticatieconfiguratie om het OBO-token uit te wisselen voor het gevraagde toegangstoken via Bot Framework.

Copilot Studio roept Microsoft Entra ID aan om de daadwerkelijke uitwisseling uit te voeren.

1. Meld u aan bij Copilot Studio.

2. Open de agent die je wilt configureren.

3. Selecteer in het navigatiemenu onder Instellingen de optie Beveiliging. Selecteer vervolgens de kaart Verificatie.

4. In de Token exchange URL voer je de volledige scope-URI in op de pagina Expose an API van de registratie van de authenticatie-app. Het formaat is api://<AuthenticationAppClientId>/<ScopeName>.

5. Selecteer Opslaan en publiceer de agentinhoud.

Configureer je aangepaste canvas-HTML voor SSO

Gebruik het volledige Microsoft Entra ID SSO-voorbeeld in plaats van gedeeltelijke scriptfragmenten te combineren. Het voorbeeld bevat de Microsoft Authentication Library (MSAL) setup, Webchat middleware en token-uitwisselingsafhandeling.

1. Volg de README van het voorbeeld om de toepassings-id (client) en map-id (tenant) van de canvas-app te configureren.

2. Configureer de token endpoint-URL voor je agent. Bouw geen token-endpoint op basis van de agent-ID.

3. Houd de inlogkaart als fallback wanneer stille tokenverwerving of tokenuitwisseling mislukt.

4. Host de pagina op de redirect-URL die je hebt geregistreerd. Log in via de knop van het voorbeeld en activeer vervolgens een agent topic dat authenticatie vereist. Bevestig dat een succesvolle tokenruil een tweede aanmeldprompt of validatiecode voorkomt.

Volledige voorbeeldcode

Lees meer in het Microsoft Entra ID SSO-voorbeeld. Gebruik de app-registratie- en configuratie-instructies die overeenkomen met de versie van het sample dat je deployt.