새로운 ‘ OpenID Connect’ 제공자를 통한 동적 클라이언트 등록

시작하기 전에

이는 OpenID 의 ‘Connect Dynamic Client Registration’ 1.0 사양을 기반으로 합니다.

테넌트 관리자 또는 테넌트에 대한 관리 액세스 권한이 있는 사용자가 새 OIDC 애플리케이션을 작성합니다. 이제 OIDC 애플리케이션도 동적 클라이언트 등록을 통해 동적으로 생성할 수 있습니다.

동적 클라이언트 등록 엔드포인트는 https://{{tenant}}/oauth2/register에 있습니다.

이 태스크에 대한 정보

동적 클라이언트 등록 설정을 구성한 다음, 등록 API를 사용하여 새로운 OIDC 애플리케이션을 동적으로 등록하십시오. 이 애플리케이션은 ' "OpenID Connect' 또는 ' "OpenID Connect for Open Banking' 애플리케이션 중 하나입니다.

동적 클라이언트 등록 설정

동적 클라이언트 등록 설정을 구성하여 동적 클라이언트 등록의 기본값을 설정할 수 있습니다. “OIDC 동적 클라이언트 등록 설정 구성”을 참조하십시오.

관련 설정은 다음 표에 설명되어 있습니다.

설정의 '소프트웨어 진술', '인증 요청' 및 '등록 액세스 토큰' 섹션에 대해서는 OIDC 동적 클라이언트 등록 설정 구성을 참조하십시오.

동적 클라이언트 등록에 대한 베어러 토큰 인증 필요

동적 클라이언트 등록 시 베어러 토큰 인증을 요구하도록 요청 인증이 구성된 경우, 초기 액세스 토큰이 필요합니다.

Manage OIDC client registration dynamically 인타이틀먼트를 사용하여 API 클라이언트를 작성하십시오. API 클라이언트를 생성하려면 ‘애플리케이션 API 액세스 관리’를 참조하십시오.

API 클라이언트가 작성된 후 액세스 토큰을 가져오려면 client_credentials 플로우를 사용하십시오. 다음 코드는 예제입니다.

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

동적 클라이언트 등록 요청의 경우, 인증 헤더에 베어러 토큰을 포함해야 합니다.

동적 클라이언트 등록에 MTLS 필요

요청 인증이 상호 인증( TLS )을 필요로하도록 구성된 경우, 클라이언트는 해당 요청에 대해 유효한 인증서를 제시해야 합니다.

등록 API를 사용하여 새 애플리케이션을 등록합니다

다음 표는 현재 지원되는 클라이언트 메타데이터 목록을 표시합니다.

새 애플리케이션을 등록하는 예제

다음 코드는 동적 클라이언트 등록이 베어러 토큰 인증을 요구하도록 구성된 경우의 요청 예시입니다.

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

응답

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

애플리케이션의 추가 구성

애플리케이션이 생성된 후에는 속성 매핑, 액세스 정책, ID 소스, 권한이 부여된 사용자 등 애플리케이션에 대한 추가 옵션을 구성할 수 있습니다. 이 옵션을 구성하려면 ‘ OpenID Connect 애플리케이션에서 싱글 사인온 구성’ 또는 ‘ OpenID Connect for Open Banking 애플리케이션에서 싱글 사인온 구성’을 참조하십시오.

등록 API를 사용하여 OIDC 애플리케이션을 업데이트합니다

다음 코드는 이전 단계에서 생성한 토큰을 registration_access_token 인증 베어러 토큰으로 사용하여 클라이언트를 수정하기 위해 PUT 요청을 보내는 예시입니다. OIDC 애플리케이션 구성에 적용된 변경 사항은 덮어쓰게 되므로 유의하시기 바랍니다.

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

등록 API를 사용하여 OIDC 애플리케이션 읽기

등록 API는 다시 OIDC 애플리케이션을 읽는 방법도 제공합니다.

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

등록 API를 사용하여 OIDC 애플리케이션 삭제하기

등록 API는 OIDC 애플리케이션을 삭제하는 방법도 제공합니다.

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

등록 액세스 토큰이 만기됨

등록된 액세스 토큰의 유효 기간이 만료되면, 등록된 클라이언트의 클라이언트 ID와 시크릿을 사용하여 새로운 액세스 토큰을 획득하십시오. “초기 액세스 토큰 획득”을 참조하십시오.