Konfigurowanie logowania jednokrotnego przy użyciu Microsoft Entra ID

Tworzenie rejestracji aplikacji dla niestandardowej witryny internetowej

Aby skonfigurować SSO, utworz dwie oddzielne rejestracje aplikacji:

• Rejestracja aplikacji do uwierzytelniania dla uwierzytelniania użytkownika Microsoft Entra ID w Twoim agencie.
• Rejestracja aplikacji kanwy dla Twojej niestandardowej strony internetowej.

Ze względów bezpieczeństwa nie używaj ponownie tej samej rejestracji aplikacji zarówno dla agenta, jak i niestandardowej witryny internetowej.

1. Aby utworzyć rejestrację aplikacji uwierzytelniania, postępuj zgodnie z instrukcjami w temacie Konfigurowanie uwierzytelniania użytkowników przy użyciu identyfikatora Entra firmy Microsoft.

2. Utwórz drugą rejestrację aplikacji, która będzie służyła jako rejestracja aplikacji Canvas.

Dodaj adres URL wymiany tokenów

Jako adres URL wymiany tokenów należy użyć pełnego adresu URI, który udostępnia aplikacja uwierzytelniająca w ramach rejestracji. Jeśli nie utworzyłeś niestandardowego zakresu, najpierw wykonaj instrukcje z Konfigurowanie uwierzytelniania użytkownika za pomocą Microsoft Entra ID.

1. W portalu Azure na stronie rejestracji aplikacji uwierzytelniania przejdź do Wyświetl interfejs API.

2. Pod Zakresy wybierz ikonę Kopiuj do schowka.

3. W programie Copilot Studio w menu nawigacji w Settings wybierz kafelek Security, a następnie wybierz kafelek Authentication.

4. W przypadku URL wymiany tokenów (wymagany przy logowaniu jednokrotnym) wklej skopiowany wcześniej zakres.

5. Wybierz Zapisz, a następnie opublikuj agenta.

Autoryzuj aplikację canvas do korzystania z zakresu uprawnień aplikacji uwierzytelniającej

1. W Azure Portal na stronie rejestracji aplikacji uwierzytelniającej kanwy, przejdź do pozycji Omówienie.

2. Skopiuj wartość Identyfikator aplikacji (klienta) w obszarze Podstawy.

3. Otwórz rejestrację aplikacji uwierzytelniającej, a następnie wybierz Zarządzaj>Udostępnij interfejs API.

4. W obszarze Autoryzowane aplikacje klienckie wybierz pozycję Dodaj aplikację kliencką.

5. W Client ID wklej identyfikator klienta aplikacji canvas.

6. W sekcji Autoryzowane zakresy wybierz zakres, który utworzyłeś do wymiany tokenów, a następnie wybierz Dodaj aplikację.

Skonfiguruj rejestrację aplikacji canvas

1. Otwórz stronę rejestracji aplikacji opartej na kanwie i przejdź do Uwierzytelnianie.

2. W obszarze Konfiguracje platformy wybierz Dodaj platformę, a następnie wybierz SPA.

3. W obszarze Przekierowywanie adresów URL wprowadź adres URL strony sieci Web. Na przykład https://www.contoso.com/index.html.

4. W sekcji Niejawne udzielenie i przepływy hybrydowe włącz opcje Tokeny dostępu (używane do przepływów jawnych) i Tokeny identyfikacyjne (używane do przepływów jawnych i hybrydowych).

5. Wybierz Konfiguruj.

Konfigurowanie jednokrotnego logowania na stronie sieci Web

Użyj pełnego przykładu Microsoft Entra ID SSO, w tym jego bibliotek i oprogramowania pośredniego czat internetowy. Postępuj zgodnie z instrukcjami zawartymi w pliku README do przykładowego kodu i zaktualizuj symbole zastępcze w pliku konfiguracyjnym index.html.

1. W Azure Portal otwórz rejestrację swojej aplikacji opartej na kanwie.

2. Na stronie Przegląd skopiuj ID aplikacji (klienta) oraz ID katalogu (tenant).

   

3. Zastąp symbole zastępcze identyfikatora klienta i identyfikatora dzierżawcy w przykładzie wartościami z rejestracji aplikacji opartej na kanwie. Nie używaj tutaj identyfikatora klienta aplikacji uwierzytelniającej.

4. Zastąp symbol zastępczy punktu końcowego tokenu adresem URL punktu końcowego tokenu agenta.

5. Jeśli dostosujesz identyfikator użytkownika, utrzymaj go w granicach limitu 64 znaków próbki.

6. Zapisz swoje zmiany.

7. Umieść stronę pod zarejestrowanym adresem przekierowania. Zaloguj się, używając przycisku logowania w przykładzie, a następnie rozpocznij rozmowę wymagającą uwierzytelnienia.

   Gdy wymiana tokenów się powiedzie, agent nie prosi Cię o ponowne zalogowanie się ani kopiowanie kodu walidacyjnego do czatu. Jeśli tak, sprawdź identyfikatory aplikacji canvas, zakres autoryzacji, adres URL wymiany tokenów oraz publikację agenta.

   Note

   Przycisk logowania w próbce ustala początkową sesję zalogowanego użytkownika. W produkcji Twoja aplikacja musi obsłużyć to pierwsze logowanie. Trzymaj zapasową kartę logowania dostępną, jeśli wymiana tokenów się nie powiedzie.

Następujące procedury konfigurują niestandardowy obszar roboczy witryny dla agenta utworzonego w planie Teams. Nie są to instrukcje dotyczące konfiguracji kanału w aplikacji Microsoft Teams.

Omówienie techniczne

SSO w niestandardowym canvasie wykorzystuje następujący przepływ wymiany tokenów:

1. Użytkownik agenta wpisuje frazę wyzwalającą temat logowania. Temat logowania zaprojektowano tak, aby logować użytkownika w programie i używać uwierzytelnionego tokenu użytkownika (zmienna User.AccessToken).

2. Aplikacja Copilot Studio wysyła monit logowania, aby umożliwić użytkownikowi logowanie się przy użyciu skonfigurowanego dostawcy tożsamości.

3. Niestandardowa kanwa agenta przechwytuje polecenie logowania i zażąda w imieniu użytkownika (OBO) tokenu z programu Microsoft Entra ID. Kanwa wyśle token do programu agenta.

4. Agent wymienia token OBO na token dostępu i przechowuje go w User.AccessToken. Zmienna User.IsLoggedIn jest również ustawiana w tym samym czasie.

Utworzyć rejestracji aplikacji w Microsoft Entra ID dla kanwy niestandardowej

Aby skonfigurować SSO, potrzebujesz dwóch oddzielnych rejestracji aplikacji:

• Jeden dla twojego agenta, aby umożliwić uwierzytelnianie użytkowników za pomocą Microsoft Entra ID.
• Jeden dla kanwy niestandardowej, aby włączyć SSO.

Utwórz rejestrację aplikacji dla obszaru roboczego agenta

1. Zaloguj się do portalu Azure.

2. Przejdź do Rejestracje aplikacji, wybierając ikonę lub wyszukując na górnym pasku wyszukiwania.

3. Wybierz opcjęNowa rejestracja.

4. Wprowadź nazwę rejestracji. Użyj nazwy agenta, którego kanwę rejestrujesz, i dodaj element „kanwa” do nazwy, aby łatwiej odróżnić element rejestracji aplikacji w celu uwierzytelnienia.

   Jeśli na przykład agent nosi nazwę "Contoso sales help", możesz nazwać rejestrację aplikacji „ContosoSalesCanvas” lub podobnie.

5. W sekcji Obsługiwane typy kont wybierz konta w dowolnej dzierżawie organizacyjnej (Dowolny katalog Microsoft Entra ID - Multitenant) oraz konta osobiste Microsoft (na przykład Skype, XBOX).

6. W tej chwili w sekcji Adres URI przekierowania należy pozostawić puste to pole, ponieważ te informacje należy wprowadzić w następnych krokach. Wybierz opcję Zarejestruj.

7. Po zakończeniu rejestracji jest otwierana strona Przegląd. Przejdź do Manifest. Sprawdź, czy accessTokenAcceptedVersion jest ustawione na wartość 2. Jeśli nie, zmień go na 2, a następnie wybierz opcję Zapisz.

Dodaj URL przekierowania

1. Po otwarciu rejestracji przejdź do opcji Uwierzytelnianie, a następnie wybierz opcję Dodaj platformę.

2. Na panelu Konfigurowanie platform wybierz pozycję Sieć Web.

3. W obszarze Identyfikatory URI przekierowania dodaj pełny adres URL strony, na której znajduje się kanwa czatu. W sekcji Udzielenie niejawne zaznacz pola wyboru Token identyfikacyjny oraz Tokeny dostępu.

4. Wybierz pozycję Konfiguruj, aby zastosować zmiany.

5. Przejdź do Uprawnień interfejsu API. Wybierz opcję Przyznawanie zgody administratora <Nazwa dzierżawy>, a następnie wybierz Tak.

   Important

   Aby użytkownicy nie musieli wyrażać zgody na każdą aplikację, administrator globalny, administrator aplikacji lub administrator aplikacji w chmurze może udzielić zgody całej dzierżawie na rejestracje aplikacji.

Zdefiniuj zakres niestandardowy dla Twojego agenta

Zdefiniuj niestandardowy zakres w rejestracji aplikacji uwierzytelniającej i autoryzuj aplikację canvas do jego użycia. Dowiedz się więcej o zakresach w słowniku terminów dla programistów platformy tożsamości Microsoftu.

W tym kroku jest tworzona relacja zaufania między rejestracją aplikacji uwierzytelniania w celu uwierzytelnienia a rejestracją aplikacji dla niestandardowej kanwy.

1. Otwórz rejestrację aplikacji utworzoną podczas konfigurowania uwierzytelniania.

2. Wejdź do Uprawnień API i upewnij się, że dodałeś odpowiednie uprawnienia dla swojego agenta. Wybierz opcję Przyznawanie zgody administratora <Nazwa dzierżawy>, a następnie wybierz Tak.

   Important

   Aby użytkownicy nie musieli wyrażać zgody na każdą aplikację, administrator globalny, administrator aplikacji lub administrator aplikacji w chmurze może udzielić zgody całej dzierżawie na rejestracje aplikacji.

3. Wybierz opcję Uwidacznianie interfejsu API i następnie wybierz Dodaj zakres.

4. Nadaj zakresowi nazwę oraz wprowadź informacje wyświetlania, które użytkownicy widzą po otwarciu ekranu logowania jednokrotnego. Wybierz Dodaj zakres.

5. Wybierz pozycję Dodaj aplikację kliencką.

6. Wprowadź Identyfikator klienta ze strony Przegląd dla rejestracji aplikacji kanwy w polu Identyfikator klienta. Zaznacz pole wyboru dla wymienionego zakresu, który utworzyłeś.

7. Wybierz Dodaj aplikację.

Konfiguruj uwierzytelnianie w Copilot Studio dla SSO

Użyj adresu URL wymiany tokenów w konfiguracji uwierzytelniania Copilot Studio, aby wymienić token OBO na żądany token dostępu za pomocą Bot Framework.

Copilot Studio wywołuje w Microsoft Entra ID, aby wykonywać rzeczywistą wymianę.

1. Zaloguj się do programu Copilot Studio.

2. Otwórz agenta, którego chcesz skonfigurować.

3. W menu nawigacji, w sekcji Ustawienia wybierz Zabezpieczenia. Następnie wybierz kartę Uwierzytelnianie.

4. W URL-ie wymiany tokenów wpisz pełny zakres URI ze strony Expose an API rejestracji aplikacji uwierzytelniającej. Format to jest api://<AuthenticationAppClientId>/<ScopeName>.

5. Wybierz Zapisz, a następnie opublikuj treść agenta.

Skonfiguruj własny kod HTML obszaru roboczego dla logowania jednokrotnego (SSO)

Użyj pełnego przykładu SSO Microsoft Entra ID zamiast łączyć fragmenty skryptów. Przykład obejmuje konfigurację Microsoft Authentication Library (MSAL), middleware czat internetowy oraz obsługę wymiany tokenów.

1. Postępuj zgodnie z README przykładu, aby skonfigurować ID aplikacji (klienta) oraz identyfikator katalogu (tenant) aplikacji canvas.

2. Skonfiguruj adres URL endpoint token dla swojego agenta. Nie konstruuj tokenowego endpointu na podstawie ID agenta.

3. W przypadku niepowodzenia cichego pozyskiwania tokenu lub wymiany tokenu należy zachować kartę logowania jako rozwiązanie awaryjne.

4. Hostuj stronę pod zarejestrowanym adresem URL przekierowania. Zaloguj się, używając przycisku próbki, a następnie wywołaj temat bota wymagający uwierzytelnienia. Potwierdź, że udana wymiana tokenów pozwala uniknąć drugiego promptu do logowania lub kodu walidacyjnego.

Pełny przykładowy kod

Dowiedz się więcej w przykładzie Microsoft Entra ID SSO. Użyj instrukcji rejestracji aplikacji i konfiguracji, które odpowiadają wersji przykładu, który wdrażasz.