Azure AD B2C - id_tokenのユーザ名とパスワードはどうやって交換されていますか？

Question

Azure AD B2Cを使用してユーザーを認証するプロジェクトが開発中です。私は、ログインフローがどのように動作しているのか、Fiddlerで追跡しているドキュメントを準備中です。

login.microsoftonline.comによってレンダリングされたフォームにユーザー名とパスワードを正しく送信するユーザーの場合は、返信でIDトークンを取得し、弊社のWebサイトに提示して認証を検証し、セッションを確立する。

Fiddlerでは、正しいユーザー名とパスワードを含むourtenant.onmicrosoft.comへのPOSTが表示されます。レスポンスボディは、複数のセットクッキーヘッダ（簡潔さのためにコンテンツが省略されています）を持つ "{"ステータス "：" 200 "}"です。これに続いて

x-ms-cpim-slice 
x-ms-cpim-dc 
x-ms-cpim-cache 
x-ms-cpim-trans 

、私は上記のクッキーを含み、そしてourtenant.onmicrosoft.comは隠しフィールドにid_tokenが含まれているHTMLのブロブで応答ourtenant.onmicrosoft.comにGETを参照してください。

私の質問は、簡単な言葉で、どのようにAzureのAD B2Cは、先に進むに応じGETで提供id_tokenへの最初のPOSTで正しいユーザ名/パスワードの入力を相関んですか？そう、私は何も格納し、どのように確実にそれが保護されていますを理解したい場合は

私の新人の推測では、それがX-MS-CPIMキャッシュクッキーを使用することであると。

Answer 1

は限り契約が懸念しているとして、クッキーはB2Cの内部にあります。それらはB2Cサービスによって生成され、消費されるため、内部構造はいつでも変更できます。

パスワードは、ユーザーが提供した要求と同じ要求で検証され、破棄されます。

B2Cは、ユーザーがCookieを使用して認証プロセスで行った進捗を追跡します。そのようなクッキーは暗号化されています。それを超えて、これらのクッキーに何が入っているのかを示すのに役立つわけではありません。今日、それはそれはいくつかの短命のセキュリティトークンかもしれない明日、B2CはDBにいくつかの状態を保存することができますGUIDなど