Un fournisseur OIDC hébergé pour tous les clients de votre produit
Un fournisseur OIDC, ou fournisseur OpenID Connect, est le serveur vers lequel vos applications envoient les utilisateurs pour se connecter et qui renvoie des jetons signés indiquant qui est l'utilisateur. Skycloak Platform donne à chacun de vos tenants son propre fournisseur OIDC, exploité pour vous, pour que votre application web, votre application mobile et vos API fassent confiance à la même connexion.
Ce qu'un fournisseur OIDC apporte à vos applications
OpenID Connect est une fine couche d'identité au-dessus d'OAuth 2.0. Votre application redirige l'utilisateur vers le fournisseur, l'utilisateur s'y connecte, et l'application reçoit un jeton d'identité, qui décrit l'utilisateur, et un jeton d'accès, que vos API acceptent comme preuve d'accès. Ce sont deux JSON Web Tokens signés avec des clés que le fournisseur publie, si bien que tout service peut les vérifier sans le rappeler.
Chaque tenant de la plateforme a sa propre adresse d'émetteur et son propre document de découverte, le fichier connu qui indique à une bibliothèque cliente où se trouvent les points d'autorisation, de jeton et de clés. Pointer un client standard vers cet émetteur suffit en général à le configurer.
Les flux autour desquels la plateforme est construite
Les applications web et mobiles utilisent le flux par code d'autorisation avec PKCE, la recommandation actuelle pour tout type de client, y compris ceux qui ne peuvent pas garder de secret. La plateforme suit OAuth 2.1, qui abandonne les anciens flux implicite et par mot de passe, jugés dangereux.
Les requêtes d'autorisation poussées (PAR), les jetons liés à l'émetteur par DPoP et l'authentification des clients par private key JWT sont au plan de la première version, pour les équipes dont les clients demandent ces protections renforcées. La plateforme renouvelle les clés de signature et les publie avant de s'en servir : vos services prennent une nouvelle clé sans redéploiement.
Pourquoi l'exploiter en service
Un fournisseur OIDC est petit en code mais grand en responsabilité : si ses clés de signature fuient ou s'il tombe, plus personne ne se connecte à rien. L'exploiter vous-même, c'est assumer le stockage et la rotation des clés, la base des utilisateurs et des sessions et la mise à jour de chaque dépendance, jour et nuit.
Sur la plateforme, ce travail est celui de Skycloak. Votre tenant tourne aux États-Unis ou dans l'Union européenne, séparé des autres tenants par la base de données elle-même, et votre équipe travaille avec le protocole standard plutôt qu'avec le serveur derrière.
Questions fréquentes
Puis-je garder la bibliothèque cliente que j'utilise déjà ?
Oui. Toute bibliothèque OpenID Connect certifiée ou largement utilisée fonctionne, car la plateforme publie un document de découverte standard pour chaque tenant.
Chacun de mes environnements a-t-il son propre émetteur ?
Oui. Chaque environnement est un tenant avec son émetteur, ses utilisateurs et ses clés : les jetons de votre tenant de préproduction ne sont jamais acceptés en production.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.