使用新的 OpenID Connect提供程序进行动态客户端注册

准备工作

该功能基于 OpenID Connect 动态客户端注册 1.0 规范。

新的 OIDC 应用程序由租户管理员或具有对租户的管理访问权的用户创建。 现在，还可以通过动态客户端注册来动态创建 OIDC 应用程序。

动态客户机注册端点位于以下位置：https://{{tenant}}/oauth2/register。

关于此任务

配置动态客户端注册设置，然后使用注册 API 动态注册新的 OIDC 应用程序。 该应用程序属于 "OpenID Connect"或 "OpenID Connect for Open Banking"应用之一。

动态客户端注册设置

可以配置动态客户端注册设置，以设定动态客户端注册的默认值。 请参阅 “配置 OIDC 动态客户端注册设置 ”。

下表介绍了相关设置。

有关设置中的“软件声明”、“请求授权”和“注册访问令牌”部分，请参阅《 配置 OIDC 动态客户端注册设置》。

需要不记名令牌认证以进行动态客户机注册

如果请求授权配置为要求动态客户端注册时使用承载令牌授权，则需要初始访问令牌。

创建具有 Manage OIDC client registration dynamically 权利的 API 客户机。 要创建 API 客户端，请参阅《 管理应用程序的 API 访问权限 》。

创建 API 客户机后，使用 client_credentials 流以获取访问令牌。 以下代码为示例：

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

动态客户端注册请求要求在授权头中提供承载令牌。

需要 MTLS 以进行动态客户机注册

如果请求授权配置为要求双向 TLS ，则客户端必须在请求中提供有效的证书。

使用注册 API 注册新应用程序

下表显示当前支持的客户机元数据的列表。

注册新应用程序的示例

以下代码是一个示例请求，其中动态客户端注册已配置为需要 Bearer 令牌授权。

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

响应

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

应用程序的进一步配置

创建应用程序后，您可以为其配置更多选项，例如属性映射、访问策略、身份来源、授权用户等。 要配置这些选项，请参阅 《在“ OpenID Connect”应用中配置单点登录》 或 《在“ OpenID Connect for Open Banking”应用中配置单点登录》。

使用注册 API 更新 OIDC 应用程序

以下代码演示了如何将上一步骤生成的授权承载令牌用作授权 registration_access_token 凭证，并发送 PUT 请求来修改客户端。 请注意，对 OIDC 应用程序配置所做的更改将会被覆盖。

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

使用注册 API 读取 OIDC 应用程序

注册 API 还提供一种方式以重新读取 OIDC 应用程序。

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

使用注册 API 删除 OIDC 应用程序

注册 API 还提供一种方式以删除 OIDC 应用程序。

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

注册访问令牌已到期

如果注册访问令牌过期，请使用已注册客户端的客户端 ID 和密钥获取新的访问令牌。 请参阅 “获取初始访问令牌 ”。