Übersicht über OpenID Connect

Terminologie

Zugriffstoken

Ein Berechtigungsnachweis, der für den Zugriff auf geschützte Ressourcen verwendet wird. Ein Zugriffstoken ist eine Zeichenfolge und stellt eine an den Client ausgegebene Berechtigung dar.

Berechtigungsendpunkt

Eine Ressource auf einem OpenID-Provider, die eine Berechtigungsanforderung von einem Client akzeptiert, um die Authentifizierung und Berechtigung eines Benutzers durchzuführen. Im Berechtigungscodeablauf gibt der Berechtigungsendpunkt einen Berechtigungsgrant (oder -code) an den Client im Basisclientprofil zurück. Im impliziten Clientprofil gibt der Berechtigungsendpunkt ein ID-Token und ein Zugriffstoken an den Client zurück.

Berechtigungsgrant

Eine Anmeldeinformation, die die Autorisierung eines Benutzers zum Zugriff auf Ressourcen darstellt. Diese Anmeldeinformationen werden von einem Client verwendet, um ein Zugriffstoken zu erhalten.

Anspruch

Informationen, die über eine Entität behauptet werden. Beispiele für einen Anspruch sind eine Telefonnummer, ein Vor- oder Nachname.

ID-Token

Ein JSON Web Token (JWT), das Ansprüche zum authentifizierten Benutzer enthält.

Introspektionsendpunkt

Eine Ressource zu einem OpenID Anbieter, der einem Client, der über ein Zugriffstoken verfügt, das Abrufen von Informationen ermöglicht. Die Informationen werden zum Erstellen des Zugriffstokens verwendet (z. B. Benutzername, gewährte Bereiche oder Client-ID).

OpenID-Provider (OP)

Ein OAuth-2.0-Berechtigungsserver, der einem Client oder einer Relying Party (RP) Ansprüche bereitstellen kann.

Aktualisierungstoken

Ein Token, das dem Client vom OP ausgestellt wird. Das Token wird verwendet, um ein neues Zugriffstoken zu erhalten, wenn das aktuelle Zugriffstoken abläuft, oder um weitere Zugriffstoken zu erhalten.

Relying Party (RP)

Entweder ein WebSphere Application Server konfiguriert als OpenID Connect Client oder eine Client-Anwendung, die Ansprüche von einem OpenID Anbieter (OP).

Geltungsbereich

Eine Berechtigung oder Genehmigung, die den Zugriff auf Ressourcen eines Dritten ermöglicht.

Tokenendpunkt

Eine Ressource auf einem OpenID-Provider, die einen Berechtigungsgrant (oder -code) von einem Client akzeptiert und dafür ein Zugriffstoken, ein ID-Token und ein Aktualisierungstoken zurückgibt.

WebSphere Application Server als OpenID Verbinden Sie die vertrauende Partei (Client).

WebSphere Application Server kann so konfiguriert werden, dass es als OpenID Connect Relying Party, das ermöglicht WebSphere Application Server sich auf einen anderen verlassen OpenID Verbindungsserver, der als OP für die Benutzerauthentifizierung und -autorisierung fungiert.

Mit einem OpenID Connect-Basisclient wird jeder Tokenaustausch über den Tokenendpunkt des OpenID Connect-Providers abgewickelt. Zuerst übergibt der Client eine Berechtigungsanforderung an den Berechtigungsendpunkt des OP. Nach erfolgreicher Authentifizierung und Berechtigung beim OP erhält der Client einen Berechtigungsgrant oder -code vom OP. Dieser Berechtigungscode kann dann in einer Anforderung an den Tokenendpunkt des OP gesendet werden. Der Client empfängt ein ID-Token, ein Zugriffstoken und ein Aktualisierungstoken in der Antwort vom Tokenendpunkt. Der Client überprüft dann das ID-Token und ruft die Subjekt-ID des Benutzers ab. Dieser profilbasierte Ablauf ist für Clients vorgesehen, die einen geheimen Clientschlüssel zwischen sich und dem OP sicher verwalten können, und ermöglicht Clients, ein Token abzurufen.

Abmeldung

Informationen dazu, wie Sie Ihrer Anwendung die Durchführung einer Abmeldung ermöglichen, wenn sie durch das OpenID TAI anschließen, siehe Aktivieren der programmgesteuerten Abmeldung für eine Open ID Connect-Relying-Party.