Enregistrement dynamique des clients avec le nouveau fournisseur Connect d' OpenID

Avant de commencer

Il repose sur les spécifications « Connect Dynamic Client Registration » d' OpenID, disponibles à l'adresse 1.0.

Les nouvelles applications OIDC sont créées par un administrateur titulaire ou un utilisateur disposant d'un accès administrateur au titulaire. Désormais, les applications OIDC peuvent également être créées de manière dynamique grâce à l'enregistrement dynamique des clients.

Le nœud final d'enregistrement de client dynamique se trouve ici : https://{{tenant}}/oauth2/register.

A propos de cette tâche

Configurez les paramètres d'enregistrement dynamique des clients, puis enregistrez dynamiquement la nouvelle application OIDC à l'aide de l'API d'enregistrement. L'application est soit une application « "OpenID Connect », soit une application « "OpenID Connect for Open Banking ».

Paramètres dynamiques d'enregistrement des clients

Les paramètres d'enregistrement dynamique des clients peuvent être configurés afin de définir les valeurs par défaut pour l'enregistrement dynamique des clients. Voir la section « Configuration des paramètres d'enregistrement dynamique des clients OIDC ».

Les paramètres concernés sont décrits dans le tableau ci-dessous.

Pour les sections « Déclaration logicielle », « Demande d'autorisation » et « Jeton d'accès d'enregistrement » des paramètres, consultez la section « Configuration des paramètres d'enregistrement dynamique des clients OIDC ».

Exiger l'authentification du jeton bearer pour l'enregistrement dynamique de client

Si l'autorisation de la requête est configurée pour exiger une autorisation par jeton « bearer » lors de l'enregistrement dynamique d'un client, un jeton d'accès initial est requis.

Créez un client d'API avec le droit d'accès Manage OIDC client registration dynamically. Pour créer le client API, consultez la section « Gestion de l'accès à l'API des applications ».

Une fois le client API créé, utilisez le flux client_credentials pour obtenir le jeton d'accès. Le code suivant est un exemple :

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

La requête d'enregistrement dynamique du client nécessite que le jeton « bearer » soit fourni dans l'en-tête d'autorisation.

Exiger MTLS pour l'enregistrement dynamique de client

Si l'autorisation de la requête est configurée pour exiger TLS mutuel, un certificat valide doit être présenté par le client pour la requête.

Enregistrer une nouvelle application à l'aide de l'API d'enregistrement

Le tableau ci-dessous présente la liste des métadonnées client actuellement prises en charge.

Exemple d'enregistrement d'une nouvelle application

Le code suivant est un exemple de requête lorsque l'enregistrement dynamique des clients est configuré pour exiger une autorisation par jeton « bearer ».

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

réponse

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

Configuration supplémentaire de l'application

Une fois l'application créée, vous pouvez configurer d'autres options, telles que le mappage des attributs, la politique d'accès, les sources d'identité, les utilisateurs autorisés, etc. Pour configurer ces options, consultez la section « Configuration de l'authentification unique dans l'application OpenID Connect » ou « Configuration de l'authentification unique dans les applications OpenID Connect for Open Banking ».

Mettre à jour l'application OIDC à l'aide de l'API d'enregistrement

Le code suivant montre comment utiliser le registration_access_token jeton d'autorisation obtenu à l'étape précédente et envoyer une requête PUT pour modifier le client. Veuillez noter que les modifications apportées à la configuration de l'application OIDC seraient écrasées.

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

Lire l'application OIDC à l'aide de l'API d'enregistrement

L'API d'enregistrement permet également de lire à nouveau l'application OIDC.

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

Supprimer une application OIDC à l'aide de l'API d'enregistrement

L'API d'enregistrement permet également de supprimer l'application OIDC.

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

Jeton d'accès à l'enregistrement expiré

Si le jeton d'accès d'enregistrement expire, obtenez un nouveau jeton d'accès en utilisant l'ID client et la clé secrète du client qui a été enregistré. Voir « Obtenir un jeton d'accès initial ».