OAuth 2.0-applikasjonsregistrering

En FoxIDs OAuth 2.0-applikasjonsregistrering representerer enten en beskyttet API-resource eller en backendapplikasjon som bruker maskin-til-maskin-autentisering. Registrer et API for å eksponere scopes, og registrer en Backend Application for å hente access tokens med Client Credentials Grant.

FoxIDs OAuth 2.0-applikasjonsregistrering

Viktige funksjoner omfatter flere API-audiences i ett access token, scope-basert API-tilgang, klientautentisering med secrets eller sertifikater, claim-transformasjon og token exchange.

Konfigurasjon

I FoxIDs Control:

  1. Velg miljøet der API-et eller backendapplikasjonen skal registreres.
  2. Åpne Applications, og klikk på Add application.
  3. Aktiver Show all options.
  4. Velg API eller Backend Application.
  5. Konfigurer applikasjonen, og klikk på Create.

Velg en OAuth 2.0-applikasjonstype

Etter opprettelsen kan du klikke på Change application for å se gjennom eller endre alle applikasjonsinnstillingene. Aktiver bare Show advanced når den nødvendige innstillingen er avansert.

OAuth 2.0 API

Velg API for å registrere et beskyttet backend-API som en OAuth 2.0-resource. API-registreringen definerer resource name, scopes og audience som brukes i access tokens.

Følgende eksempel registrerer et Customers API:

  1. Angi Customers som Name.
  2. Angi customers-api som Resource name.
  3. Legg til scopene read og write.
  4. Klikk på Create.

Opprett et OAuth 2.0-API med scopes

De fullstendige scope-verdiene er customers-api:read og customers-api:write. En klient ber om én eller begge verdiene fra token-endepunktet, og det resulterende access token inneholder customers-api som audience.

API-et må validere access tokenets issuer, audience, levetid og påkrevde scope. En kallende applikasjon får tilgang separat ved å legge til API-resourcen og scopene den kan be om.

Backendapplikasjon og Client Credentials Grant

Velg Backend Application for en tjeneste, daemon, planlagt jobb eller bakgrunnsprosess. FoxIDs oppretter den som en konfidensiell klient som ber om et access token uten en bruker ved hjelp av Client Credentials Grant.

Følgende eksempel oppretter den kallende tjenesten:

  1. Angi Backend service som Name.
  2. Angi backend-service som Client ID, eller la FoxIDs generere den.
  3. Kopier den genererte Client secret før du forlater opprettelsesresultatet. Hele den genererte secreten vises bare under opprettelsen.
  4. Klikk på Create.

Opprett en OAuth 2.0-backendapplikasjon

Gi tilgang til et API

Etter at backendapplikasjonen er opprettet, klikker du på Change application og konfigurerer Resource and scopes på fanen OAuth 2.0 Client:

  1. La Default resource 'backend-service' for the application itself være deaktivert, siden denne klienten ikke fungerer som sitt eget API.
  2. Klikk på Add Resource and scopes.
  3. Angi customers-api som Resource.
  4. Legg til scopene read og write.
  5. Klikk på Update.

Gi en backendapplikasjon tilgang til å kalle Customers API-et

Backendapplikasjonen kan nå be om customers-api:read, customers-api:write eller begge. Scopes som klienten ber om, valideres mot scopene som eksponeres av API-registreringen.

Access tokens kan inneholde flere audiences og dermed gi tilgang til flere API-er som er registrert som OAuth 2.0-resources i FoxIDs. Legg til hver nødvendige resource og dens tillatte scopes i backendapplikasjonen.

Klientautentisering

Standardmetoden for klientautentisering ved token-endepunktet er client secret post. For å endre den klikker du på Change application, aktiverer Show advanced og velger:

  • client secret basic for å sende client ID og secret med HTTP Basic-autentisering.
  • client secret post for å sende client ID og secret i token request body.
  • private key JWT for å autentisere med en signert client assertion.

Konfigurer OAuth 2.0-klientautentisering

Opptil 10 secrets og 4 klientsertifikater kan konfigureres for å støtte rotasjon av påloggingsinformasjon. Oppbevar secrets og private nøkler sikkert, og ikke skriv dem i kildekode eller logger.

Følgende request bruker standardmetoden client secret post for å hente et access token for Customers API-et:

POST https://foxids.com/tenant-x/environment-y/backend-service(*)/oauth/token HTTP/1.1
Host: foxids.com
Content-Type: application/x-www-form-urlencoded

client_id=backend-service
&client_secret=<client-secret>
&grant_type=client_credentials
&scope=customers-api%3Aread

Token-responsen inneholder et access token for customers-api-audience med scopet customers-api:read.

Autentiser med et sertifikat

Velg private key JWT, og last opp klientsertifikatet etter at backendapplikasjonen er opprettet. Klienten beholder den tilhørende private nøkkelen og signerer en kortlivet client assertion for hver token request.

Registrer overlappende sertifikater før du erstatter et sertifikat som utløper, slik at klienten kan rotere nøkler uten å avbryte token requests.

Client secrets

FoxIDs hasher client secrets med den konfigurerte password hash-algoritmen. En generert secret kan ikke gjenopprettes etter opprettelsen. For secrets som er lengre enn 20 tegn, beholder FoxIDs de tre første tegnene som identifikasjonsinformasjon og viser dem med ellipse, for eksempel 6j9....

Legg til en erstatningssecret før du fjerner den forrige for å rotere påloggingsinformasjon uten nedetid.

Claims som utstedes til en klient eller et API, kan endres med claim transforms og claim tasks.

Resource Owner Password Credentials Grant

FoxIDs støtter ikke Resource Owner Password Credentials Grant fordi det krever at applikasjonen håndterer brukerens passord, og det er ikke egnet for sikker, moderne autentisering.

Requestparametre

Konfigurer Allowed request parameters for å gjøre valgte verdier fra client credentials- eller token exchange-forespørselen tilgjengelige som _local:params:{name} claims. Se requestparametre for applikasjoner for konfigurasjon, lister atskilt med mellomrom og grenser.