Dynamische Client-Registrierung mit dem neuen „ OpenID Connect“-Anbieter

Vorbereitende Schritte

Es basiert auf den Spezifikationen „ OpenID “ und „Connect Dynamic Client Registration“ ( 1.0 ).

Neue OIDC-Anwendungen werden von einem Tenantadministrator oder einem Benutzer mit Verwaltungszugriff auf den Tenant erstellt. Nun können OIDC-Anwendungen auch dynamisch über die dynamische Client-Registrierung erstellt werden.

Der Endpunkt für die dynamische Clientregistrierung befindet sich hier: https://{{tenant}}/oauth2/register.

Informationen zu dieser Task

Konfigurieren Sie die Einstellungen für die dynamische Client-Registrierung und registrieren Sie anschließend die neue OIDC-Anwendung mithilfe der Registrierungs-API dynamisch. Bei der Anwendung handelt es sich entweder um eine „ "OpenID -Connect“- oder eine „ "OpenID -Connect for Open Banking“-Anwendung.

Dynamische Einstellungen für die Kundenregistrierung

Die Einstellungen für die dynamische Client-Registrierung können so konfiguriert werden, dass die Standardwerte für die dynamische Client-Registrierung festgelegt werden. Siehe „Konfigurieren der Einstellungen für die dynamische OIDC-Client-Registrierung “.

Die entsprechenden Einstellungen sind in der folgenden Tabelle beschrieben.

Informationen zu den Abschnitten „Software-Erklärung“, „Autorisierung anfordern“ und „Registrierungs-Zugriffstoken“ der Einstellungen finden Sie unter „Konfigurieren der Einstellungen für die dynamische OIDC-Client-Registrierung“.

Trägertokenauthentifizierung für dynamische Clientregistrierung als erforderlich definieren

Wenn die Anforderungsautorisierung so konfiguriert ist, dass für die dynamische Client-Registrierung eine Bearer-Token-Autorisierung erforderlich ist, wird ein erstes Zugriffstoken benötigt.

Erstellen Sie einen API-Client mit der Berechtigung Manage OIDC client registration dynamically. Informationen zum Erstellen des API-Clients finden Sie unter „Verwalten des API-Zugriffs für Anwendungen “.

Rufen Sie nach der Erstellung des API-Clients mithilfe des Ablaufs client_credentials das Zugriffstoken ab. Der folgende Code ist ein Beispiel:

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

Für die dynamische Client-Registrierungsanfrage muss das Bearer-Token im Autorisierungsheader angegeben werden.

MTLS für dynamische Clientregistrierung als erforderlich definieren

Wenn die Anforderungsautorisierung so konfiguriert ist, dass eine gegenseitige TLS erforderlich ist, muss der Client für die Anforderung ein gültiges Zertifikat vorlegen.

Neue Anwendung über die Registrierungs-API registrieren

Die folgende Tabelle enthält die Liste der Clientmetadaten, die gegenwärtig unterstützt werden.

Beispiel für die Registrierung einer neuen Anwendung

Der folgende Code ist ein Beispiel für eine Anfrage, wenn die dynamische Client-Registrierung so konfiguriert ist, dass eine Autorisierung per Bearer-Token erforderlich ist.

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

Antwort

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

Weitere Konfiguration der Anwendung

Nachdem die Anwendung erstellt wurde, können Sie weitere Optionen für die Anwendung konfigurieren, beispielsweise Attributzuordnungen, Zugriffsrichtlinien, Identitätsquellen, berechtigte Benutzer und vieles mehr. Informationen zum Konfigurieren dieser Optionen finden Sie unter „Konfigurieren von Single Sign-On in der Anwendung ‚ OpenID Connect‘ “ oder unter „Konfigurieren von Single Sign-On in den Anwendungen ‚ OpenID Connect for Open Banking ‘“.

OIDC-Anwendung mithilfe der Registrierungs-API aktualisieren

Der folgende Code zeigt, wie man das registration_access_token im vorherigen Schritt erstellte Bearer-Token als Autorisierungstoken verwendet und eine PUT-Anfrage sendet, um den Client zu ändern. Bitte beachten Sie, dass Änderungen an der OIDC-Anwendungskonfiguration überschrieben werden.

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

OIDC-Anwendung mithilfe der Registrierungs-API lesen

Die Registrierungs-API bietet auch eine Möglichkeit, die OIDC-Anwendung erneut zu lesen.

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

OIDC-Anwendung mithilfe der Registrierungs-API löschen

Die Registrierungs-API bietet auch eine Möglichkeit, die OIDC-Anwendung zu löschen.

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

Das Token für den Registrierungszugriff ist abgelaufen.

Wenn das Registrierungs-Zugriffstoken abläuft, rufen Sie ein neues Zugriffstoken ab, indem Sie die Client-ID und den geheimen Schlüssel des registrierten Clients verwenden. Siehe „Erste Zugriffstoken abrufen “.