Gambaran umum kunci kebijakan di Azure Active Directory B2C

Fitur ini tersedia hanya untuk kebijakan kustom. Untuk langkah-langkah penyiapan, pilih Kebijakan kustom dalam pemilih sebelumnya.

Azure Active Directory B2C (Azure AD B2C) menyimpan rahasia dan sertifikat dalam bentuk kunci kebijakan untuk membangun kepercayaan dengan layanan yang diintegrasikannya. Kepercayaan ini terdiri dari:

• Penyedia identitas eksternal
• Menyambungkan dengan layanan REST API
• Penandatanganan dan enkripsi token

Artikel ini membahas apa yang perlu Anda ketahui tentang kunci kebijakan yang digunakan oleh Azure Active Directory B2C.

Anda dapat mengonfigurasi rahasia dan sertifikat untuk membangun kepercayaan antara layanan di portal Microsoft Azure di bawah menu Kunci kebijakan. Kuncinya bisa simetris atau asimetris. Kriptografi simetris, atau kriptografi kunci privat, adalah tempat di mana rahasia bersama digunakan untuk mengenkripsi dan mendekripsi data. Kriptografi asimetris atau kriptografi kunci publik, adalah sistem kriptografi yang menggunakan pasangan kunci, yang terdiri dari kunci publik yang dibagikan dengan aplikasi pihak yang mengandalkannya dan kunci privat yang hanya diketahui oleh Azure AD B2C.

Set kunci dan sejumlah kunci kebijakan

Sumber daya tingkat teratas untuk kunci kebijakan di Azure AD B2C adalah kontainer Set Kunci. Setiap set kunci berisi setidaknya satu Kunci. Sebuah kunci memiliki atribut berikut:

Sebaiknya tetapkan kunci aktivasi dan nilai kedaluwarsa sesuai dengan standar PKI Anda. Anda mungkin perlu memutar sertifikat ini secara berkala karena alasan keamanan atau kebijakan. Misalnya, Anda mungkin memiliki kebijakan untuk memutar seluruh sertifikat Anda setiap 90 hari.

Untuk membuat kunci, Anda bisa memilih salah satu metode berikut:

• Manual - Membuat rahasia dengan untai (karakter) yang Anda tentukan. Rahasianya adalah kunci konten. Anda dapat mengatur tanggal aktivasi dan kedaluwarsa.
• Dihasilkan - Membuat kunci secara otomatis. Anda dapat mengatur tanggal aktivasi dan kedaluwarsa. Ada dua opsi:
  • Rahasia - Menghasilkan kunci konten.
  • RSA - Menghasilkan pasangan kunci (kunci asimetris).
• Unggah - Mengunggah sertifikat, atau kunci PKCS12. Sertifikat harus berisi kunci privat dan publik (kunci asimetris).

Rollover kunci

Untuk tujuan keamanan, Azure AD B2C dapat menggulirkan kunci secara berkala, atau segera jika terjadi keadaan darurat. Aplikasi, penyedia identitas, atau REST API apa pun yang terintegrasi dengan Azure AD B2C harus siap untuk menangani peristiwa rollover utama, tidak peduli seberapa sering peristiwa itu mungkin terjadi. Jika tidak, jika aplikasi atau Azure AD B2C Anda mencoba menggunakan kunci kedaluwarsa untuk melakukan operasi kriptografi, permintaan masuk akan gagal.

Jika set kunci Azure AD B2C memiliki beberapa tombol, hanya salah satu tombol yang aktif pada satu waktu, berdasarkan kriteria berikut:

• Aktivasi kunci didasarkan pada tanggal aktivasi.
  • Kunci diurutkan menurut tanggal aktivasi dalam urutan naik. Kunci dengan tanggal aktivasi lebih lanjut ke masa depan muncul lebih rendah dalam daftar. Kunci tanpa tanggal aktivasi terletak di bagian bawah daftar.
  • Ketika tanggal dan waktu saat ini lebih besar dari tanggal aktivasi kunci, Azure AD B2C akan mengaktifkan kunci dan berhenti menggunakan kunci aktif sebelumnya.
• Ketika waktu kedaluwarsa kunci saat ini telah berlalu dan kontainer kunci berisi kunci baru dengan waktu tidak sebelum dan kedaluwarsa yang valid, kunci baru akan menjadi aktif secara otomatis.
• Ketika waktu kedaluwarsa kunci saat ini telah berlalu dan penampung kunci tidak berisi kunci baru dengan waktu tidak sebelum dan kedaluwarsa yang valid, Azure AD B2C tidak akan dapat menggunakan kunci kedaluwarsa. Azure AD B2C akan memunculkan pesan kesalahan dalam komponen yang bergantung pada kebijakan kustom Anda. Untuk menghindari masalah ini, Anda dapat membuat kunci default tanpa aktivasi dan tanggal kedaluwarsa sebagai jaring pengaman.
• Titik akhir kunci (JWKS URI) dari titik akhir konfigurasi terkenal OpenId Connect mencerminkan kunci yang dikonfigurasi dalam Kontainer Kunci, ketika Kunci direferensikan di Profil Teknis JwtIssuer. Aplikasi yang menggunakan pustaka OIDC akan secara otomatis mengambil metadata ini untuk memastikannya menggunakan kunci yang benar untuk memvalidasi token. Untuk informasi selengkapnya, pelajari cara menggunakan Pustaka Autentikasi Microsoft, yang selalu mengambil kunci penandatanganan token terbaru secara otomatis.

Manajemen kunci kebijakan

Untuk mendapatkan kunci aktif saat ini dalam wadah kunci, gunakan titik akhir Microsoft Graph API getActiveKey.

Untuk menambahkan atau menghapus kunci penandatanganan dan enkripsi:

1. Masuk ke portal Azure.
2. Jika Anda memiliki akses ke beberapa penyewa, pilih ikon Pengaturan di menu atas untuk beralih ke penyewa Azure AD B2C Anda dari menu Direktori + langganan.
3. Di portal Microsoft Azure, cari dan pilih AAD B2C.
4. Pada halaman gambaran umum, di bawah Kebijakan, pilih Kerangka Kerja Pengalaman Identitas.
5. Pilih Kunci Kebijakan
   1. Untuk menambahkan kunci baru, pilih Tambahkan.
   2. Untuk menghapus kunci baru, pilih kunci, lalu pilih Hapus. Untuk menghapus kunci, ketik nama wadah kunci untuk dihapus. Azure AD B2C akan menghapus kunci dan membuat salinan kunci dengan akhiran .bak.

Mengganti kunci

Kunci dalam set kunci tidak dapat diganti atau dilepas. Jika Anda perlu mengubah kunci yang ada:

• Sebaiknya tambahkan kunci baru dengan tanggal aktivasi yang diatur ke tanggal dan waktu saat ini. Azure AD B2C akan mengaktifkan kunci baru dan berhenti menggunakan kunci aktif sebelumnya.
• Atau, Anda dapat membuat set kunci baru dengan kunci yang benar. Perbarui kebijakan Anda untuk menggunakan set kunci baru, lalu hapus set kunci lama.

Langkah berikutnya

• Pelajari cara menggunakan Microsoft Graph untuk mengotomatiskan penyebaran set kunci dan kunci kebijakan.