Zum Inhalt springen
uencoder

OpenID Connect

OpenID Connect (OIDC) ist eine Identitätsschicht über OAuth 2.0, die Benutzerauthentifizierung und Identitätsinformationen bereitstellt; es ist der De-facto-Standard für SSO.

Zweck

Fügt über der OAuth-Autorisierung standardisierte Benutzerauthentifizierung und Identitäts-Claims hinzu.

Mechanismus

Auf OAuth 2.0 aufbauend, fügt es das ID Token (ein JWT mit Identitäts-Claims des Benutzers) und einen UserInfo-Endpoint hinzu. Der Scope openid aktiviert OIDC. Das ID Token trägt Claims wie sub, iss, aud und exp. Discovery wird über .well-known/openid-configuration unterstützt.

Anwendungsfälle

  • Domänenübergreifendes SSO-Login
  • Identitätsprüfung durch Dritte
  • Unternehmens-Identitätsföderation
  • Mobile Authentifizierung

Beispiele

  • Eingabe 
    scope=openid → ID Token
    Output 
    A JWT carrying the user's identity

    Authentication plus authorization

Häufige Fehler

Confusing OAuth (authorization) with OIDC (authentication)
Remember: OIDC = OAuth plus an identity layer

Verwandte Begriffe

OAuth
OAuth 2.0 ist ein Autorisierungsframework, das Drittanbieter-Apps mit Zustimmung des Benutzers per Token auf dessen Ressourcen zugreifen lässt, ohne Passwörter zu teilen.
GLOSSAR
JWT
JWT (JSON Web Token) ist ein kompakter, in sich geschlossener Token, der Claims sicher als JSON-Objekt übermittelt; weit verbreitet für zustandslose Authentifizierung und Informationsaustausch.
GLOSSAR
Bearer Token
Ein Bearer-Token ist ein Tokentyp, der rein über den Besitz funktioniert: Er wird im Header Authorization: Bearer <token> gesendet, sodass jeder, der ihn besitzt, ihn verwenden kann — ohne zusätzliche Zugangsdaten.
GLOSSAR

References