Azure AD B2C にてログイン時に入力するユーザIDを2つに分けて入力するUIとしたい

@Inuma, Yusuke,

英語から翻訳していますので、文法的な誤りがある場合はご容赦ください。

返信が遅くなり申し訳ございません。以下のとおりクレーム変換を修正していただけますでしょうか。

<ClaimsTransformation Id="CreateSignInNameFromNumberParts" TransformationMethod="FormatStringClaim">

<InputClaims>

<InputClaim ClaimTypeReferenceId="number1" TransformationClaimType="inputClaim1" />

<InputClaim ClaimTypeReferenceId="number2" TransformationClaimType="inputClaim2" />

</InputClaims>

<InputParameters>

<InputParameter Id="stringFormat">{0}_{1}</InputParameter>

</InputParameters>

<OutputClaims>

<OutputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="outputClaim" />

</OutputClaims>

</ClaimsTransformation>

@Jyotishree Moharana @Rukmini

ありがとうございます。ご提示いただいたクレーム変換を修正し、カスタムポリシーをアップロードしようとしたところ、以下のバリデーションエラーが発生しました。

Validation failed: 1 validation error(s) found in policy "B2C_1A_TRUSTFRAMEWORKBASE" of tenant "XXX.onmicrosoft.com".Schema validation error found at line 356 col 12 in policy "B2C_1A_TRUSTFRAMEWORKBASE" of tenant "XXX.onmicrosoft.com": The required attribute 'DataType' is missing.Schema validation error found at line 356 col 12 in policy "B2C_1A_TRUSTFRAMEWORKBASE" of tenant "XXX.onmicrosoft.com": The required attribute 'DataType' is missing.

アップロードしたカスタムポリシーの356行目は以下になります。

<InputParameter Id="stringFormat">{0}_{1}</InputParameter>

また、OrchestrationStep の修正も必要と考えておりますが、具体例をご提示いただけないでしょうか。

どうぞよろしくお願いいたします。

Inuma, Yusuke, 必要な属性 'DataType' が欠落しているエラーは、<ClaimsTransformation> 定義に <InputParameter> 要素が DataType 属性を含めなければならないためです。

問題を解決するために、以下を試してください:

• ClaimsTransformationを更新して、次のようにDataType="string"を含めてください:

<ClaimsTransformation Id="CreateSignInNameFromNumberParts" TransformationMethod="FormatStringClaim">

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="number1" TransformationClaimType="inputClaim1" />

    <InputClaim ClaimTypeReferenceId="number2" TransformationClaimType="inputClaim2" />

  </InputClaims>

  <InputParameters>

    <InputParameter Id="stringFormat" DataType="string">{0}_{1}</InputParameter>

  </InputParameters>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="outputClaim" />

  </OutputClaims>

</ClaimsTransformation>

• オーケストレーションステップも更新し、これらのステップがユーザージャーニーに含まれていることを確認してください。

<!-- Step 1: Collect number1, number2, password -->

<OrchestrationStep Order="1" Type="ClaimsExchange">

  <ClaimsExchanges>

    <ClaimsExchange Id="CollectCreds" TechnicalProfileReferenceId="SelfAsserted-LocalAccountSignin-Email" />

  </ClaimsExchanges>

</OrchestrationStep>

<!-- Step 2: Authenticate using combined signInName -->

<OrchestrationStep Order="2" Type="ClaimsExchange">

  <ClaimsExchanges>

    <ClaimsExchange Id="SignInWithCombinedUsername" TechnicalProfileReferenceId="login-NonInteractive" />

  </ClaimsExchanges>

</OrchestrationStep>

英語から翻訳しているので、文法の誤りがあったらごめんなさい。

@Rukmini

ありがとうございます。修正したカスタムポリシーをアップロードすることができました。

しかし、その後ログイン画面を表示しようとしたところ、以下のエラーメッセージが表示されてしまいます。

The page cannot be displayed because an internal server error has occurred.

ご提示いただいたOrchestrationStepに問題がないか再度ご確認いただけないでしょうか。

Inuma, Yusuke,

OrchestrationSteps または TechnicalProfiles のいずれかに設定ミスがあるに違いありません（一般的には、入力/出力の主張が不足している、参照が壊れている、または変換が正しく適用されていないためです）。

• 自己主張型技術プロフィールを確認してください

<TechnicalProfile Id="SelfAsserted-LocalAccountSignin-Email">

  <DisplayName>Local Account Signin</DisplayName>

  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.SelfAssertedAttributeProvider" />

  <Metadata>

    <Item Key="setting.operatingMode">Username</Item>

    <Item Key="ContentDefinitionReferenceId">api.selfasserted</Item>

    <Item Key="setting.showSignupLink">false</Item>

    <Item Key="setting.forgotPasswordLinkLocation">None</Item>

  </Metadata>

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="number1" />

    <InputClaim ClaimTypeReferenceId="number2" />

    <InputClaim ClaimTypeReferenceId="password" />

  </InputClaims>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="number1" Required="true" />

    <OutputClaim ClaimTypeReferenceId="number2" Required="true" />

    <OutputClaim ClaimTypeReferenceId="password" Required="true" />

    <!-- Combined output claim -->

    <OutputClaim ClaimTypeReferenceId="signInName" Required="true" />

  </OutputClaims>

  <OutputClaimsTransformations>

    <OutputClaimsTransformation ReferenceId="CreateSignInNameFromNumberParts" />

  </OutputClaimsTransformations>

  <ValidationTechnicalProfiles>

    <ValidationTechnicalProfile ReferenceId="login-NonInteractive" />

  </ValidationTechnicalProfiles>

  <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />

</TechnicalProfile>

• 必ずこれに必要なDataType属性が含まれていることを確認してください:

<ClaimsTransformation Id="CreateSignInNameFromNumberParts" TransformationMethod="FormatStringClaim">

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="number1" TransformationClaimType="inputClaim1" />

    <InputClaim ClaimTypeReferenceId="number2" TransformationClaimType="inputClaim2" />

  </InputClaims>

  <InputParameters>

    <InputParameter Id="stringFormat" DataType="string">{0}_{1}</InputParameter>

  </InputParameters>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="outputClaim" />

  </OutputClaims>

</ClaimsTransformation>

• ユーザー ジャーニーのオーケストレーション ステップを更新してください

ここは、オーケストレーションフローに問題がある場合（例えば、間違ったプロファイル参照や欠落したクレームなど）に、内部サーバーエラーがよく発生する場所です。

<OrchestrationSteps>

  <!-- Step 1: Collect user input -->

  <OrchestrationStep Order="1" Type="ClaimsExchange">

    <ClaimsExchanges>

      <ClaimsExchange Id="CollectCreds" TechnicalProfileReferenceId="SelfAsserted-LocalAccountSignin-Email" />

    </ClaimsExchanges>

  </OrchestrationStep>

  <!-- Step 2: Authenticate using the combined username -->

  <OrchestrationStep Order="2" Type="ClaimsExchange">

    <ClaimsExchanges>

      <ClaimsExchange Id="SignInWithCombinedUsername" TechnicalProfileReferenceId="login-NonInteractive" />

    </ClaimsExchanges>

  </OrchestrationStep>

  <!-- Optional: Session management -->

  <OrchestrationStep Order="3" Type="SendClaims" />

</OrchestrationSteps>

"内部サーバーエラー"は通常次のような場合に発生します：

• 技術プロファイルが誤って参照されました（IDが間違っているか、欠落しています）。
• ステップ間で必要な請求が提供されていませんでした。
• ClaimsTransformationが誤って構成されています（例えば、DataTypeが欠落しています）。
• オーケストレーションステップが予想されるフローと一致していません。

@Rukmini

ご回答いただきありがとうございます。

カスタムポリシーを修正したところ、同一の画面内に番号1・番号2・パスワードの入力窓を表示することが出来ました。

しかし、ログインしようとしたところ以下のエラーメッセージが表示されてしまいます。

AADSTS900561: The endpoint only accepts POST, OPTIONS requests. Received a GET request.

何度も申し訳ございませんが、再度ご確認いただけないでしょうか。

Inuma, Yusuke, エラーは、オーケストレーションステップでlogin-NonInteractiveを直接呼び出しているためかもしれません。その技術プロファイルはPOSTでのみ動作し、直接呼び出す（GETとして）とこのエラーが発生します。

エラーを解決するには、Self-Assertedステップ内でValidationTechnicalProfileとしてのみlogin-NonInteractiveを使用してください。

オーケストレーションの例:

<OrchestrationStep Order="1" Type="ClaimsExchange">

  <ClaimsExchanges>

    <ClaimsExchange Id="CollectAndValidate" TechnicalProfileReferenceId="SelfAsserted-CollectCombinedSignIn" />

  </ClaimsExchanges>

</OrchestrationStep>

<OrchestrationStep Order="2" Type="SendClaims" />

SelfAsserted-CollectCombinedSignInプロファイルの中に:

<ValidationTechnicalProfiles>

  <ValidationTechnicalProfile ReferenceId="login-NonInteractive" />

</ValidationTechnicalProfiles>

上記の変更の後、number1、number2、およびパスワードのための単一の画面が表示され、signInNameはnumber1 + number2から生成され、login-NonInteractiveが検証の内部でPOSTとしてトリガーされます。

@Rukmini

返信いただきありがとうございます。

テクニカルプロファイル SelfAsserted-CollectCombinedSignIn の詳細が不明でしたため、SelfAsserted-LocalAccountSignin-Email のテクニカルプロファイル内にご提示いただいた ValidationTechnicalProfiles を追記しましたところ、ログイン時に Invalid username or password. エラーが発生しました。

差し支えなければ、 SelfAsserted-CollectCombinedSignIn テクニカルプロファイルもご共有いただけないでしょうか。

どうぞよろしくお願いいたします。

こんにちは Inuma, Yusuke,

最初の要求が解決されたので、それは画面を分けずに同じ画面で番号1、番号2、およびパスワードを入力するということです。新しいエラー「無効なユーザー名またはパスワード」については、現在のXMLなどのすべての詳細を含めてフォーラムに別の質問として投稿することをお勧めします。これにより、私たちや他のコミュニティメンバーがより効果的に追跡でき、集中した回答を提供できるようになります。

@Rukmini

すみません。同一の画面に番号1・番号2・パスワードの入力窓を設け、それらに入力された情報を使ってユーザがログインできることまで解決いただきたいです。

Inuma, Yusuke「無効なユーザー名またはパスワード」とAADSTS900561（GETではなくPOST）エラーを修正するには、この正しいSelfAsserted-CollectCombinedSignIn技術プロファイルを使用してください:

<TechnicalProfile Id="SelfAsserted-CollectCombinedSignIn">

  <DisplayName>Combined Sign In</DisplayName>

  <Protocol Name="Proprietary" Handler="Web.TPEngine.SelfAssertedAttributeProvider" />

  <Metadata>

    <Item Key="ContentDefinitionReferenceId">api.selfasserted</Item>

    <Item Key="language.button_continue">Sign in</Item>

    <Item Key="EnforcePasswordPolicy">true</Item>

    <Item Key="setting.operatingMode">UsernameAndPassword</Item>

  </Metadata>

  <IncludeInSso>false</IncludeInSso>

  <InputClaimsTransformations>

    <InputClaimsTransformation ReferenceId="CreateSignInNameFromNumbers" />

  </InputClaimsTransformations>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="Number1" Required="true" />

    <OutputClaim ClaimTypeReferenceId="Number2" Required="true" />

    <OutputClaim ClaimTypeReferenceId="password" Required="true" />

    <OutputClaim ClaimTypeReferenceId="signInName" />

  </OutputClaims>

  <ValidationTechnicalProfiles>

    <ValidationTechnicalProfile ReferenceId="login-NonInteractive" />

  </ValidationTechnicalProfiles>

  <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />

</TechnicalProfile>

サインイン名を生成するためのクレーム変換も定義します:

<ClaimsTransformation Id="CreateSignInNameFromNumbers" TransformationMethod="FormatString">

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="Number1" TransformationClaimType="inputClaim1" />

    <InputClaim ClaimTypeReferenceId="Number2" TransformationClaimType="inputClaim2" />

  </InputClaims>

  <InputParameters>

    <InputParameter Id="stringFormat">{0}{1}@yourtenant.onmicrosoft.com</InputParameter>

  </InputParameters>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="outputClaim" />

  </OutputClaims>

</ClaimsTransformation>

ログイン非対話型は、オーケストレーションステップで直接使用するのではなく、ValidationTechnicalProfiles内でのみ使用されることを確認してください。

これにより、サインインがPOST経由で機能し、単一の画面でエラーを回避できます。

@Rukmini

修正したカスタムポリシーをアップロードし、ログイン画面にアクセスしたところ以下のようなエラー画面が表示されました。> 申し訳ありません。サインインで問題が発生しました。> ここに挙げたエラーは自動的に追跡されますが、問題が解決しない場合には遠慮なくご連絡ください。また、同じ操作をもう一度お試しになることもお勧めします。

SelfAsserted-CollectCombinedSignInに問題がないか再度ご確認いただけますと幸いです。

Inuma, Yusuke

次のクレームタイプがあなたのClaimsSchemaに存在することを確認してください:

<ClaimType Id="Number1" /><ClaimType Id="Number2" />

<ClaimType Id="signInName" /><ClaimType Id="password" />

Number1とNumber2を組み合わせてサインイン名を作成します:

<ClaimsTransformation Id="CreateSignInNameFromNumbers" TransformationMethod="FormatString">

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="Number1" TransformationClaimType="inputClaim1" />

    <InputClaim ClaimTypeReferenceId="Number2" TransformationClaimType="inputClaim2" />

  </InputClaims>

  <InputParameters>

    <InputParameter Id="stringFormat">{0}{1}@yourtenant.onmicrosoft.com</InputParameter>

  </InputParameters>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="signInName" TransformationClaimType="outputClaim" />

  </OutputClaims>

</ClaimsTransformation>

SelfAsserted-CollectCombinedSignIn:

<TechnicalProfile Id="SelfAsserted-CollectCombinedSignIn">

  <InputClaimsTransformations>

    <InputClaimsTransformation ReferenceId="CreateSignInNameFromNumbers" />

  </InputClaimsTransformations>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="Number1" Required="true" />

    <OutputClaim ClaimTypeReferenceId="Number2" Required="true" />

    <OutputClaim ClaimTypeReferenceId="password" Required="true" />

    <OutputClaim ClaimTypeReferenceId="signInName" />

  </OutputClaims>

  <ValidationTechnicalProfiles>

    <ValidationTechnicalProfile ReferenceId="login-NonInteractive" />

  </ValidationTechnicalProfiles>

</TechnicalProfile>

login-NonInteractive:

<TechnicalProfile Id="login-NonInteractive">

  <Metadata>

    <Item Key="Operation">Login</Item>

    <Item Key="ClientId">ProxyApp-ClientId</Item>

    <Item Key="IdTokenAudience">IEFApp-ClientId</Item>

  </Metadata>

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="signInName" />

    <InputClaim ClaimTypeReferenceId="password" />

  </InputClaims>

</TechnicalProfile>

オーケストレーションステップを追加する:

<OrchestrationStep Order="1" Type="ClaimsExchange">

  <ClaimsExchanges>

    <ClaimsExchange Id="LocalSignIn" TechnicalProfileReferenceId="SelfAsserted-CollectCombinedSignIn" />

  </ClaimsExchanges>

</OrchestrationStep>

デバッグを有効にする:

<Diagnostics Enabled="true" IncludeDebugOutput="true" />

Application Insightsのログを確認するか、詳細なエラー情報のためにApp Insightsデバッグモードでポリシーを実行してください。

Inuma, Yusuke

最後の返信についてお返事をいただいていないので、解決策があるかどうか確認しています。もし解決策がある場合は、それをコミュニティと共有してください。他の人に役立つ可能性があります。そうでない場合は、詳細をお知らせください。私たちが助けるように努めます。

@Rukmini

ご回答いただきありがとうございます。

カスタムポリシーを更新しアップロードしようとしましたところ、以下のメッセージが表示されました。

The required "Protocol" element is missing from with id "login-NonInteractive" in policy "B2C_1A_TrustFrameworkBase" of tenant "XXX.onmicrosoft.com".

また、以下のDiagnosticsはカスタムポリシーのどこに記載すれば良いかご教示いただけないでしょうか。

<Diagnostics Enabled="true" IncludeDebugOutput="true" />

どうぞよろしくお願いいたします。

Inuma, Yusuke, そのエラーは、あなたのログイン-非対話型テクニカルプロファイルに必須の<Protocol>要素が欠けているためです。

以下のようにログイン非対話型プロファイルを更新してください:

<TechnicalProfile Id="login-NonInteractive">

  <DisplayName>Login (Non Interactive)</DisplayName>

  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.LocalAccountProvider" />

  <Metadata>

    <Item Key="Operation">Login</Item>

    <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">true</Item>

    <Item Key="UserMessageIfClaimsPrincipalDoesNotExist">Invalid username or password.</Item>

    <Item Key="UserMessageIfInvalidPassword">Invalid username or password.</Item>

  </Metadata>

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="signInName" />

    <InputClaim ClaimTypeReferenceId="password" />

  </InputClaims>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="objectId" />

    <OutputClaim ClaimTypeReferenceId="userPrincipalName" />

    <OutputClaim ClaimTypeReferenceId="authenticationSource" />

  </OutputClaims>

  <IncludeTechnicalProfile ReferenceId="SM-AAD" />

</TechnicalProfile>

• これをあなたのTrustFrameworkExtensions.xmlに追加してください。そして、ポリシーを再アップロードしてください。

Inuma, Yusuke, 最後の返信についてお返事をいただいていないので、解決策があるかどうか確認しています。もし解決策がある場合は、それをコミュニティと共有してください。他の人に役立つ可能性があります。そうでない場合は、詳細をお知らせください。私たちが助けるように努めます。

@Rukmini

カスタムポリシーを修正することでアップロードすることができました。

しかし、有効な番号1・番号2・パスワードを入力してログインしようとしたところ、 Unable to validate the information provided. というエラーメッセージが表示されました。

なにか設定が欠けているところはないでしょうか。

どうぞよろしくお願いいたします。

Inuma, Yusuke, 生成されたサインイン名はAzure AD B2Cのユーザーと一致しません。そのため、login-NonInteractiveは認証に失敗します。

請求の変換を確認してください:

<InputParameter Id="stringFormat">{0}{1}@yourdomain.com</InputParameter>

• ******@yourdomain.comのようなメールアドレスを持つユーザーが存在するか確認してください。
• もしNumber1が123、Number2が456、ドメインがcontoso.comの場合、ユーザーは次のようにする必要があります: ******@contoso.com

ユーザーが正しいsignInNameで存在すれば、ログインは成功します。

Inuma, Yusuke, 最後の返信についてお返事をいただいていないので、解決策があるかどうか確認しています。もし解決策がある場合は、それをコミュニティと共有してください。他の人に役立つ可能性があります。そうでない場合は、詳細をお知らせください。私たちが助けるように努めます

@Rukmini

メールアドレスではなく、userNameで照合することは可能でしょうか。

userNameは意図した通りNumber1とNumber2を連結した形となっていますが、

メールアドレスはランダムに生成されているようで、照合に使用することは難しそうです

（例：******@XXXXXXXX.onmicrosoft.com）。

はい、Azure AD B2Cのカスタムポリシーでは、メールアドレスの代わりにuserName（Number1とNumber2の連結）で一致させることは絶対に可能です。

• B2Cポータルにカスタム属性userNameを作成する.
• TrustFrameworkExtensions.xml内でuserNameを定義してください。

<ClaimType Id="userName">

  <DisplayName>User Name</DisplayName>

  <DataType>string</DataType>

  <DefaultPartnerClaimTypes>

    <Protocol Name="OAuth2" PartnerClaimType="userName" />

  </DefaultPartnerClaimTypes>

  <UserHelpText>Your custom user name</UserHelpText>

</ClaimType>

• Number1とNumber2からユーザー名を生成する

<ClaimsTransformation Id="CreateUserNameFromNumbers" TransformationMethod="FormatString">

  <InputClaims>

    <InputClaim ClaimTypeReferenceId="Number1" TransformationClaimType="inputClaim1" />

    <InputClaim ClaimTypeReferenceId="Number2" TransformationClaimType="inputClaim2" />

  </InputClaims>

  <InputParameters>

    <InputParameter Id="stringFormat">{0}{1}</InputParameter>

  </InputParameters>

  <OutputClaims>

    <OutputClaim ClaimTypeReferenceId="userName" TransformationClaimType="outputClaim" />

  </OutputClaims>

</ClaimsTransformation>

• サインイン技術プロファイル（SelfAsserted-CollectCombinedSignIn）で識別子としてuserNameを使用してください。
• カスタム検証プロファイルを使用してユーザー名でログインを検証します。入力：ユーザー名（extension_userNameにマップされる）とパスワード、ユーザーを検索し、パスワードを検証します。
• サインイン名や自動生成されたメールアドレスを使用しないでください。あなた自身のユーザー名を使用してログインを完全に管理します。

Inuma, Yusuke, こんにちは、私たちはあなたからの返事をまだ受け取っていないので、フォローアップしています。問題の解決策を見つけることができましたか？もし解決できたなら、その手順をここで共有していただけると、同じ問題に直面している他の人たちに役立つかもしれません。まだ解決していない場合は、詳細を返信してください。喜んでさらにお手伝いします。ありがとうございます！