OpenID Connect

OpenID Connect (OIDC) est une couche d'identité au-dessus d'OAuth 2.0 qui fournit l'authentification de l'utilisateur et des informations d'identité, et constitue le standard de facto du SSO.

Objectif

Il ajoute une authentification utilisateur standardisée et des claims d'identité par-dessus l'autorisation OAuth.

Mécanisme

Sur la base d'OAuth 2.0, il ajoute le ID Token (un JWT porteur des claims d'identité de l'utilisateur) et un endpoint UserInfo. Le scope openid déclenche OIDC. Le ID Token transporte des claims tels que sub, iss, aud et exp. La découverte est prise en charge via .well-known/openid-configuration.

Cas d’usage

Connexion SSO inter-domaines
Vérification d'identité tierce
Fédération d'identité d'entreprise
Authentification mobile

Exemples

entrée

scope=openid → ID Token

Output

A JWT carrying the user's identity

Authentication plus authorization

Erreurs courantes

Confusing OAuth (authorization) with OIDC (authentication): Remember: OIDC = OAuth plus an identity layer

Termes associés

OAuth 2.0 est un cadre d'autorisation permettant à des applications tierces d'accéder aux ressources de l'utilisateur avec son consentement, sans partager de mots de passe, au moyen de jetons.

JWT (JSON Web Token) est un jeton compact et autonome qui transmet de façon sûre des affirmations en objet JSON, largement utilisé pour l'authentification sans état et l'échange d'informations.

Un jeton Bearer est un type de jeton qui fonctionne uniquement par possession : il est envoyé dans l'en-tête Authorization: Bearer <token>, de sorte que quiconque le détient peut l'utiliser, sans identifiants supplémentaires.

References