Création d'un registre d'utilisateurs OIDC dans API Manager

Utilisez l'interface utilisateur de l'API Designer pour créer un registre d'utilisateurs OIDC propre à votre organisation lorsque l'authentification multifactorielle (MFA) est requise.

1. Dans la page de navigation de l'API Designer, cliquez sur Ressources.
2. Cliquez sur Registres d'utilisateurs.
3. Cliquez sur Créer et sélectionnez Registre d'utilisateurs OIDC.
   Important : ne partagez pas les registres d'utilisateurs entre l 'API Manager et le Consumer Catalog, ni entre les sites du Consumer Catalog lorsque l'intégration en libre-service est activée ou que des suppressions de comptes sont prévues sur l'un de ces sites. Vous devez créer des registres d'utilisateurs distincts pour chacun d'entre eux, même si ces registres pointent vers le même fournisseur d'authentification en arrière-plan (par exemple, un serveur LDAP ). Cette distinction permet au Catalogue grand public de conserver des adresses e-mail uniques dans l'ensemble du catalogue, sans que l'API Manager ne soit soumis à la même exigence. Cela permet également d'éviter les problèmes liés à la suppression de comptes par les utilisateurs dans le catalogue grand public, qui affecte ensuite leur accès à API Manager.
4. Sur la page Créer un registre d'utilisateurs OIDC, utilisez les zones dans chacune des sections suivantes pour configurer les paramètres du registre, puis cliquez sur Créer.

   De nombreux paramètres de registre sont préconfigurés pour simplifier les étapes de configuration.

   Type de fournisseur

   Utilisez les paramètres du Tableau 1 pour définir le type de fournisseur.

   Tableau 1. Paramètres du type de fournisseur

   Zone	Descriptif
   Type de fournisseur	Fournisseur OIDC. Sélectionnez l'un des fournisseurs OIDC pris en charge suivants : < GitHub Google LinkedIn Citation X (anciennement Twitter) Windows™ Live OIDC standard (la valeur par défaut vous permet de spécifier un autre fournisseur)
   Titre	Indiquez un nom descriptif pour l'affichage.
   Nom	Généré automatiquement. Ce nom est utilisé dans les commandes de l'interface de ligne de commande pour référencer le registre. Pour plus d'informations sur les commandes CLI permettant de gérer les registres d'utilisateurs, consultez la documentation de référence sur l'interface CLI de la boîte à outils.
   Récapitulatif	Indiquez une brève description du nouveau registre.
   Courrier électronique requis	Sélectionnez cette option si une adresse e-mail est requise dans le cadre du processus d'inscription de l'utilisateur. Si cette option est sélectionnée, le fournisseur d'identité source doit fournir l'adresse électronique dans le cadre du processus d'authentification lors de l'intégration. Remarque : une adresse e-mail n'est pas requise par défaut pour l'intégration à Cloud Manager ou au catalogue grand public.
   Adresse email unique	Sélectionnez cette option si les adresses e-mail doivent être uniques au sein du registre des utilisateurs. Remarque : chaque compte du catalogue des utilisateurs, y compris ceux figurant dans différents registres d'utilisateurs pour un même site, doit disposer d'une adresse e-mail unique, y compris le compte administrateur du site.

   Noeud final de fournisseur

   Généré automatiquement pour la plupart des fournisseurs pris en charge. Dans la zone Noeud final de l'autorisation, entrez l'URL du noeud final de l'autorisation du fournisseur.

   Nœud final de jeton

   Renseignez les paramètres, comme indiqué dans le Tableau 2.

   Tableau 2. Paramètres du point de terminaison des jetons

   Zone	Descriptif
   URL	Préconfigurée pour la plupart des fournisseurs OIDC pris en charge. Entrez l'URL du noeud final de jeton du fournisseur.
   TLS	Sélectionnez le profil client TLS pour le noeud final de jeton (OIDC doit être configuré pour utiliser TLS). La valeur par défaut est Profil de client TLS par défaut.

   Noeud final UserInfo

   Renseignez les paramètres, comme indiqué dans le Tableau 3.

   Tableau 3. UserInfo Paramètres des terminaux

   Zone	Descriptif
   URL	Préconfigurée pour la plupart des fournisseurs OIDC pris en charge. Entrez l'URL du noeud final userinfo du fournisseur. Pour LinkedIn, le point final a changé et utilise maintenant la valeur suivante : https://api.linkedin.com/v2/me Si vous avez précédemment configuré le registre OIDC à l'aide du protocole OIDC LinkedIn existant, vous n'avez pas besoin de spécifier ce noeud final.
   TLS	Sélectionnez le profil client TLS pour le noeud final userinfo (OIDC doit être configuré pour utiliser TLS). La valeur par défaut est Profil de client TLS par défaut.

   Noeud final de courrier électronique

   Requis pour le protocole OIDC LinkedIn existant.

   En raison des modifications apportées à LinkedIn, les paramètres de configuration du registre OIDC dans API Connect ont également changé. Si vous configurez un nouveau registre OIDC pour LinkedIn, vous pouvez laisser le champ Email Endpoint vide.

   Si vous avez précédemment configuré un registre OIDC à utiliser avec le protocole OIDC LinkedIn existant, mettez à jour votre configuration en fournissant les paramètres de noeud final d'e-mail comme décrit dans le tableau 4. Le nouveau paramètre est requis pour le protocole OIDC LinkedIn existant.

   Tableau 4. Paramètres de messagerie pour les terminaux

   Zone	Descriptif
   URL	Pour le protocole OIDC LinkedIn existant, cette zone prend par défaut la valeur suivante: https://api.linkedin.com/v2/emailAddress?q=members&projection=(elements*(handle~)) Vous pouvez remplacer le paramètre en entrant une nouvelle valeur.
   TLS	Sélectionnez le profil client TLS pour le noeud final userinfo (OIDC doit être configuré pour utiliser TLS). La valeur par défaut est Profil de client TLS par défaut.

   Noeud final JWKS

   Renseignez les paramètres, comme indiqué dans le Tableau 5.

   Tableau 5. Paramètres du terminal JWKS

   Zone	Descriptif
   URL	Entrez l'URL du noeud final en lecture seule contenant les informations de clés publiques au format JWKS.
   TLS	Sélectionnez le profil client TLS pour le noeud final userinfo (OIDC doit être configuré pour utiliser TLS). La valeur par défaut est Profil de client TLS par défaut.

   Déconnexion

   Vous pouvez configurer l'un ou l'autre des types de prise en charge de la déconnexion suivants, mais pas les deux :

   • Redirection après déconnexion :

     Vous permet de définir ce que l'utilisateur voit après s'être déconnecté API Connect; par exemple, vous pouvez choisir de « rediriger » l'utilisateur vers le point de terminaison de déconnexion du fournisseur OIDC ou vers une autre adresse. Lorsque l'utilisateur se déconnecte de API Connect, le navigateur est redirigé vers l'adresse URL indiquée afin que le traitement soit pris en charge par le service URL spécifié.

   • Déconnexion déclenchée par RP :

     Fournit un formulaire plus sécurisé, conformément au profil « Connect RP-Initiated Logout » de l' OpenID. 1.0 Lorsque l'utilisateur se déconnecte de API Connect, API Connect envoie une requête POST à l'endpoint spécifié URL afin d'effacer la session de l'utilisateur. Avec cette option, vous pouvez également indiquer, si vous le souhaitez, un point de redirection pour la déconnexion du RP : URL.

   Renseignez les paramètres, comme indiqué dans le Tableau 6.

   Tableau 6. Options de déconnexion

   Zone	Descriptif
   URL de redirection de déconnexion	Facultatif. Fournissez une URL ( URL ) permettant de rediriger le navigateur lorsque l'utilisateur se déconnecte de API Connect. Si vous utilisez cette option, n'activez pas la déconnexion du RP OIDC.
   Activer la déconnexion du RP OIDC	Sélectionnez cette option pour utiliser la déconnexion déclenchée par le serveur de réplication (RP) au lieu de la redirection de déconnexion classique. Si vous utilisez cette option, ne fournissez pas d' URL de redirection après la déconnexion. Lors d'une déconnexion initiée par le RP, vous pouvez, si vous le souhaitez, indiquer une adresse de redirection pour la déconnexion RP URL.
   URL de nœud final auquel le RP émettra une requête POST	Indiquez l' URL s du point de terminaison où la requête POST sera exécutée; par exemple, le point de terminaison d'autorisation du fournisseur OpenID.
   TLS	Sélectionnez le profil « TLS » à utiliser lors de l'envoi de la requête POST vers le point de terminaison du fournisseur « OpenID ».
   URL du noeud final de redirection de déconnexion du RP	Facultatif. Indiquez une URL ( URL ) vers laquelle le fournisseur OIDC peut rediriger l'utilisateur après l'opération de déconnexion. L' URL e fonctionne comme décrit dans le profil « post_logout_redirect_uriOpenID Connect RP-Initiated Logout » 1.0.
   Inclure le refresh_token lors de la déconnexion	Facultatif. Autoriser l'inclusion du refresh_token, en plus de l'id_token_hint, conformément au profil de déconnexion initiée par le RP d' OpenID Connect 1.0.

   Informations Client

   Renseignez les paramètres comme indiqué dans le tableau 7.

   Tableau 7. Paramètres des informations client

   Zone	Descriptif
   ID de client	Indiquez l'ID client de l'application qui est enregistrée auprès du fournisseur OIDC sélectionné.
   Secret du client	Indiquez la valeur secrète du client de l'application qui est enregistrée auprès du fournisseur OIDC sélectionné. Cette zone est facultative lorsque vous créez un répertoire OIDC de type Standard et que vous définissez Client Authentication Method sur Data encoded form body. Si vous n'utilisez pas le secret client, assurez-vous que l' TLS e mutuelle est configurée avec le fournisseur OIDC. Pour activer l' TLS e mutuelle, créez un profil TLS et intégrez-le à la configuration du registre des utilisateurs OIDC.
   Type de réponse	Préconfigurée pour la plupart des fournisseurs OIDC pris en charge. Indiquez le type de données de la réponse qui sera reçue du fournisseur OIDC.
   Portées	Préconfigurée pour la plupart des fournisseurs OIDC pris en charge. Indiquez la portée d'accès du fournisseur OIDC.
   Méthode d'authentification de client	Préconfigurée pour la plupart des fournisseurs OIDC pris en charge. Sélectionnez la méthode d'authentification à utiliser avec le fournisseur OIDC. Les options sont les suivantes : Schéma d'authentification de base HTTP Corps de formulaire codé à l'aide de données

   Support supplémentaire

   Facultatif. Sélectionnez les paramètres de sécurité supplémentaires décrits dans le tableau 8.

   Tableau 8. Options de sécurité supplémentaires

   Paramètre de sécurité	Définition du nom de l'interface CLI	Descriptif
   NONCE	nonce	Activez l'extension NONCE pour empêcher une nouvelle utilisation des demandes compromises (réexécution).
   Clé de preuve pour l'échange de code (PKCE)	pkce	Activez l'extension PKCE pour permettre aux clients publics d'atténuer la menace d'interception du code d'autorisation.

   Fonctionnalités avancées

   Facultatif. Sélectionnez les fonctions avancées décrites dans le tableau 9.

   Tableau 9. Fonctionnalités avancées

   Libellé de la fonction / de l'interface utilisateur	Définition du nom de l'interface CLI	Descriptif
   Intégration automatique	auto_onboard	Autorisez les utilisateurs à exécuter des appels vers des API sans commencer par se connecter, à condition qu'ils présentent un jeton valide émis par le fournisseur OIDC. Remarque: ne s'applique pas aux organisations de type consommateur.
   Toujours utiliser le noeud final userinfo	userinfo	Configurez le registre d'utilisateurs OIDC pour toujours extraire des données utilisateur du noeud final userinfo, s'il est rempli.
   Utiliser le portail comme noeud final pour le trafic de fournisseur OIDC externe	proxy_redirect	Lors de l'authentification des utilisateurs, redirigez le fournisseur OIDC externe vers le Consumer Catalog plutôt que vers l'API Manager. Une fois cette option activée, l'URI de redirection du catalogue des consommateurs doit être défini sur /ibm_apim/oidcredirect. Pour plus d'informations, consultez la section URI de redirection.
   Renvoyer le jeton d'accès tiers	proxy_access_token	Incluez le jeton d'accès OIDC tiers dans la réponse. Remarque: activez ce paramètre à des fins de débogage uniquement. Ce paramètre n'est pas recommandé pour une utilisation dans un environnement de production. Lorsque ce paramètre est activé, la taille du jeton augmente lorsqu'une requête est envoyée à API Connect à l'aide de ce jeton. La taille plus importante du jeton pourrait dépasser la limite du protocole HTTP, ce qui entraînerait une erreur de type « ERR_HTTP2_PROTOCOL_ERROR » ou « ERR_CONNECTION_CLOSED ». Vous pouvez contourner ce problème de taille en activant également les revendications « Return third-party access_token » et « id_token » en tant que revendications distinctes, de sorte que les jetons tiers ne soient pas ajoutés au jeton d'accès émis API Connect.
   Renvoyer l'élément id_token tiers	proxy_id_token	Incluez le jeton id_token OIDC tiers dans la réponse. Remarque: activez ce paramètre à des fins de débogage uniquement. Ce paramètre n'est pas recommandé pour une utilisation dans un environnement de production. Lorsque ce paramètre est activé, la taille du jeton augmente lorsqu'une requête est envoyée à API Connect à l'aide de ce jeton. La taille plus importante du jeton pourrait dépasser la limite du protocole HTTP, ce qui entraînerait une erreur de type « ERR_HTTP2_PROTOCOL_ERROR » ou « ERR_CONNECTION_CLOSED ». Vous pouvez contourner ce problème de taille en activant également les revendications « Return third-party access_token » et « id_token » en tant que revendications distinctes, de sorte que les jetons tiers ne soient pas ajoutés au jeton d'accès émis API Connect.
   Renvoyer les jetons access_token et id_token du tiers sous forme de revendications distinctes	proxied_token_as_separate_claim	Incluez les jetons OIDC tiers (le proxy_access_token et proxy_id_tokenle ) dans la réponse sous forme de revendications distinctes, au lieu de les ajouter à l'access_token émis par API Connect. Pour utiliser cette fonctionnalité, vous devez activer au moins l'une des options « Renvoyer le jeton d'accès tiers » et « Renvoyer l'id_token tiers ». Le fait de séparer les jetons tiers empêche ceux-ci d'influencer la taille de l'access_token émis par API Connect.
   Relais de jeton	token_relay	Autoriser access_token/refresh_token à envoyer une redirection 302 pour la déconnexion
   POST Userinfo	post_userinfo	Si pris en charge par votre fournisseur OIDC, en utilisant la méthode HTTP POST lors du contact avec le noeud final userinfo. Remarque: tous les fournisseurs OIDC ne prennent pas en charge POST. Vérifiez que votre fournisseur OIDC prend en charge cette fonction avant de l'activer.
   Utiliser le paramètre d'expiration du jeton APIC d' IBM® depuis le cloud	override_provider_ttl	Remplacez le paramètre d'expiration de jeton du fournisseur OIDC par les paramètres d'expiration de jeton d'accès et de jeton d'actualisation configurés dans API Connect. Pour plus d'informations sur la configuration des paramètres d'expiration du jeton d'accès et du jeton d'actualisation dans API Connect, voir Configuration des délais d'attente pour les jetons d'accès et les jetons d'actualisation.
   Désactiver la vérification de hachage (interface de ligne de commande uniquement)	disable_hash_verification	Désactivez at_hash, c_hash

   Mappage d'utilisateurs

   Renseignez les paramètres comme indiqué dans le tableau 10.

   Remarque: Les zones Mappage d'utilisateur sont préconfigurées pour la plupart des fournisseurs OIDC pris en charge afin de réduire les erreurs potentielles ; faites attention lors de la modification des paramètres. Pour l'option OIDC standard, contactez votre fournisseur OIDC pour obtenir des détails sur les zones.

   Tableau 10. Paramètres de mappage des utilisateurs

   Zone	Descriptif
   Nom d'utilisateur	Nom de la zone du jeton de réponse contenant le nom de l'utilisateur. Remarque: La zone Nom d'utilisateur doit être unique pour ce registre OIDC, car elle identifie l'utilisateur dans le système et ne peut pas être modifiée.
   E-mail	Nom de la zone du jeton de réponse contenant l'adresse électronique de l'utilisateur.
   Prénom	Nom de la zone du jeton de réponse contenant le nom donné de l'utilisateur.
   Nom de famille	Nom de la zone du jeton de réponse contenant le nom de famille de l'utilisateur.

   URI de redirection

   La section URI de redirection répertorie les noeuds finaux vers lesquels le serveur d'autorisation OIDC redirigera le code d'autorisation. Il existe un noeud final pour chaque type d'organisation API Connect : administration du cloud, organisation de type fournisseur et organisation de type consommateur. Le noeud final de redirection est requis lorsqu'un utilisateur enregistre son application auprès du fournisseur OIDC. Par exemple, si ce registre d'utilisateurs OIDC est utilisé par une organisation de type fournisseur, l'utilisateur doit enregistrer le noeud final de redirection de l'organisation de type fournisseur auprès du fournisseur OIDC. Ces zones en lecture seule vous sont automatiquement fournies afin de copier les valeurs de noeud final selon les besoins.

   Remarque : si le catalogue des consommateurs est accessible au public et que vous sélectionnez cette proxy_redirect option, vous devez configurer votre fournisseur OIDC pour qu'il utilise l'URI de redirection suivante :

   • Chemin URI : /ibm_apim/oidcredirect
   • Exemple complet d' URL : https://<your-developer-portal-domain>/ibm_apim/oidcredirect

   Où :

   <your-developer-portal-domain> correspond au nom d'hôte réel de votre catalogue grand public; par exemple, developer.example.com.

   Cette configuration garantit que le fournisseur OIDC peut rediriger correctement les utilisateurs authentifiés vers le catalogue des consommateurs dans le cadre du processus de connexion.

Utilisez l'interface de ligne de commande du kit d'outils de développement pour créer un registre d'utilisateurs OIDC spécifique à l'organisation lorsque l'authentification multi-facteur est requise.

apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
total_results: 2
results:
  - title: API Manager User Registry
    realm: provider/default-idp-2
  - title: Corporate LDAP user registry
    realm: provider/corporate-ldap

title: registry_title
integration_url: oidc_integration_url
case_sensitive: case_sensitivity_setting
email_required: true_or_false
email_unique_if_exist: true_or_false
configuration:
  client_id: 'app_client_id'
  client_secret: 'my-client-secret'
  provider_type: oidc_provider_type

apic user-registries:create --server mgmt_endpoint_url --org organization_name oidc_config_file

registry_name registry_url

apic user-registries:get --server mgmt_endpoint_url --org organization_name registry_name --output -

consumer:
  oidc_redirect_uri: https://consumer.mycompany.com/consumer-api/oauth2/redirect