Spoléhající strana žádá rozsah openid od OpenID Providera, který autentizuje koncového uživatele a vrací ID Token obsahující verifikovatelné claimy o autentizační události a subjektu. Protokol může také poskytovat vybrané claimy skrze koncové zařízení UserInfo.
V běžném toku autorizačního kódu spoléhající strana přijímá kód skrze prohlížeč a vyměňuje jej u koncového zařízení tokenů. Musí validovat podpis ID Tokenu, vydavatele, publikum, expiraci a hodnoty vážící transakci jako nonce, jak je aplikovatelné. Objevování a registrace poskytovatele mohou automatizovat konfiguraci, ale pouze v rámci modelu důvěry, který určuje, které vydavatele, koncová zařízení, klíče a algoritmy jsou přijatelné.
Klíčové body
Role protokoluOpenID Provider provádí autentizaci a vydává claimy; spoléhající strana validuje odpověď a vytváří vlastní aplikační relaci.
Oddělené artefaktyPoužívejte ID Token k pochopení výsledku autentizace a přístupový token pouze pro jeho zamýšlený chráněný prostředek; tokeny nejsou zaměnitelné.
Soukromí a životní cyklusŽádejte pouze nezbytné claimy, používejte stabilní identifikátory opatrně, chraňte relace, řiďte rotaci podpisových klíčů a definujte chování odhlášení a změny účtu explicitně.
Důležité omezeníPlatný ID Token dokazuje pouze claimy a autentizační kontext assertovaný důvěryhodným poskytovatelem. Nezakládá právní identitu, aktuální aplikační autorizaci ani bezpečnost výsledné lokální relace.