Jetons d’ accès avec OpenID Connect (OIDC)

Découvrez l’impact du pipeline conforme à OIDC sur les jetons de sécurisation des API, notamment en ce qui concerne les permissions et les demandes.

Avec le pipeline OIDC, les applications et les API (ressources) sont traitées comme des entités distinctes dans Auth0, vous permettant ainsi d’obtenir des jetons d’accès spécifiques pour vos API. Par conséquent, toutes les API doivent être sécurisées avec des jetons d’accès plutôt que des jetons d’ID. Pour en savoir plus, veuillez consulter Jetons d’ID d’accès et Jetons d’ID.

​

Demandes

Le pipeline conforme à OIDC normalise les demandes que vous pouvez ajouter aux jetons d’ID et d’accès.

​

Demandes standard

La spécification OIDC définit un ensemble de demandes standard sur les utilisateurs, comme le profil et le courriel qui peuvent être renvoyées dans des jetons d’identification ou dans la réponse du point de terminaison /userinfo.

Pour en savoir plus sur la spécification de demande standard OIDC, veuillez consulter la Section 5.1 Demandes standard dans Spécification OpenID.

​

Demandes personnalisées

Avec le pipeline conforme à OIDC, il est toujours possible d’ajouter des demandes personnalisées aux jetons d’ID ou d’accès. Cependant, celles-ci doivent suivre un format de préfixe de nom d’espace afin d’éviter toute collision avec les demandes OIDC standard.

Pour savoir comment ajouter une demande personnalisée dans le pipeline conforme à OIDC, veuillez consulter Créer des demandes personnalisées avec espace de noms.

​

Permissions

Dans le pipeline conforme à OIDC, vous pouvez configurer vos applications dans Auth0 et utiliser des permissions pour effectuer les demandes suivantes :

• les demandes OIDC standard, comme profil et email, doivent être incluses dans le jeton d’ID (si l’utilisateur consent à fournir ces informations à l’application).
• Les autorisations prises en charge par l’API à laquelle ils souhaitent accéder doivent être incluses dans le jeton d’accès. Par exemple, vous pouvez définir l’audience et les permissions requises de votre API personnalisée, ce qui vous permettra de séparer l’accès à différentes opérations au sein de votre API.

Pour en savoir plus, veuillez consulter l’article Permissions OpenID Connect.

​

En savoir plus

• API externes avec OIDC
• Flux de code d’autorisation avec OIDC
• Flux des identifiants client avec OIDC
• Délégation avec OIDC
• Flux implicite avec OIDC
• Jetons d’actualisation avec OIDC