Registro dinâmico de clientes com o novo provedor OpenID Connect

Antes de começar

Baseia-se nas especificações do OpenID Connect Dynamic Client Registration 1.0.

Novos aplicativos OIDC são criados por um administrador de locatários ou por um usuário com acesso administrativo ao locatário. Agora, as aplicações OIDC também podem ser criadas dinamicamente por meio do registro dinâmico de clientes.

O terminal de registro do cliente dinâmico está localizado aqui: https://{{tenant}}/oauth2/register.

Sobre esta tarefa

Configure as definições de registro dinâmico de clientes e, em seguida, registre dinamicamente o novo aplicativo OIDC usando a API de registro. O aplicativo é um aplicativo do tipo " ""OpenID Connect" ou " ""OpenID Connect for Open Banking".

Configurações dinâmicas de registro de clientes

As configurações de registro dinâmico de clientes podem ser definidas para estabelecer os valores padrão para o registro dinâmico de clientes. Consulte “Configurando as definições de registro dinâmico de clientes OIDC ”.

As configurações relevantes estão descritas na tabela a seguir.

Consulte a seção "Configuração das definições de registro dinâmico de clientes OIDC " para as seções "Declaração de software", "Solicitar autorização" e "Token de acesso de registro" das configurações.

Requerer autenticação de token de acesso para registro de cliente dinâmico

Se a autorização da solicitação estiver configurada para exigir a autorização por token de portador para o registro dinâmico de clientes, será necessário um token de acesso inicial.

Crie um Cliente de API com a autorização Manage OIDC client registration dynamically. Para criar o cliente da API, consulte Gerenciamento do acesso à API do aplicativo.

Depois que o Cliente da API for criado, use o fluxo client_credenciais para obter o token de acesso. O código a seguir é um exemplo:

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

A solicitação de registro dinâmico do cliente exige que o token de portador seja fornecido no cabeçalho de autorização.

Requerer MTLS para registro de cliente dinâmico

Se a autorização da solicitação estiver configurada para exigir certificação mútua ( TLS ), o cliente deverá apresentar um certificado válido para a solicitação.

Registrar um novo aplicativo usando a API de registro

A tabela a seguir mostra a lista de metadados do cliente que são suportados atualmente.

Exemplo para registro de um novo aplicativo

O código a seguir é um exemplo de solicitação quando o registro dinâmico de clientes está configurado para exigir autorização por token de portador.

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

respostas

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

Configuração adicional do aplicativo

Após a criação do aplicativo, é possível configurar mais opções para ele, como mapeamento de atributos, política de acesso, fontes de identidade, usuários autorizados e outras. Para configurar essas opções, consulte “Configurando o logon único no aplicativo OpenID Connect” ou “Configurando o logon único nos aplicativos OpenID Connect for Open Banking ”.

Atualizar o aplicativo OIDC usando a API de registro

O código a seguir é um exemplo de como usar o token registration_access_token obtido na etapa anterior como token de portador de autorização e enviar uma solicitação PUT para modificar o cliente. Observe que as alterações feitas na configuração do aplicativo OIDC serão substituídas.

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

Ler aplicativo OIDC usando a API de registro

A API de registro também fornece uma maneira de ler o aplicativo OIDC novamente.

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

Excluir um aplicativo OIDC usando a API de registro

A API de registro também fornece uma maneira de excluir o aplicativo OIDC.

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

Token de acesso ao registro expirado

Se o token de acesso de registro expirar, obtenha um novo token de acesso usando o ID e o segredo do cliente que foi registrado. Consulte “Obter o token de acesso inicial ”.