Dynamisk clientregistrering

Alle OpenID Providers, der understøtter dynamisk registrering, stiller et specifikt Registration Endpoint til rådighed. Det er en URL, som klienter kan sende deres registreringsanmodninger til.

Klienter finder dette endpoint via OIDC Discovery Endpoint, en velkendt URL, der indeholder alle nødvendige OIDC-konfigurationsoplysninger for OP'en.

En klient sender en HTTP POST-anmodning til dette endpoint med sine oplysninger.

Når en klient vil registrere sig, sender den et JSON-objekt i brødteksten til sin POST-anmodning til Registration Endpoint. Denne JSON indeholder metadata om klienten.

Disse metadata fortæller OpenID Provider om klientens funktioner, og hvordan den har til hensigt at kommunikere med OP'en.

• Hvilke URL'er den vil bruge til omdirigeringer.
• Hvilke OIDC/OAuth2-flows den understøtter.
• Klientens navn og type (f.eks. web eller native).

Lad os se på nogle vigtige parametre, som en klient inkluderer i sin registreringsanmodning:

• redirect_uris: Et array med URL'er, som OP'en kan omdirigere brugeragenten til efter godkendelse. Disse skal være forhåndsregistrerede af hensyn til sikkerheden.
• response_types: Et array med de OAuth 2.0-response_type-værdier, som klienten angiver, at den vil bruge. F.eks. code og id_token.
• application_type: Angiver, om klienten er en web-applikation eller en native-applikation (mobil/desktop).

Flere vigtige parametre til registreringsanmodningen:

• grant_types: Et array med de OAuth 2.0-grant_type-værdier, som klienten angiver, at den vil bruge. F.eks. authorization_code og client_credentials.
• client_name: Et læsevenligt navn på klienten, som vises til slutbrugeren under godkendelsen.
• token_endpoint_auth_method: Den metode, som klienten bruger til at godkende sig over for Token Endpoint. F.eks. client_secret_post og private_key_jwt.

Efter en vellykket registrering returnerer OpenID Provider et JSON-objekt, der indeholder klientens nytildelte identitet og andre registreringsoplysninger.

Dette svar er afgørende for, at klienten kan fortsætte med godkendelses- og autorisationsanmodninger.

• client_id: Den entydige identifikator for den registrerede klient.
• client_secret: En hemmelig streng til godkendelse af klienten (hvis relevant).
• client_id_issued_at: Tidsstempel for, hvornår client_id blev udstedt.
• registration_access_token: Et token, der bruges til at administrere (opdatere/slette) denne klients registrering.
• registration_client_uri: Den URI, hvor klienten kan administreres.

Her er et forenklet eksempel på en JSON-brødtekst, som en klient kan sende for at registrere sig:

Sådan kan et vellykket JSON-svar fra OpenID Provider se ud:

Dynamic Client Registration omfatter ikke kun den indledende konfiguration; den gør også løbende administration mulig.

Den registration_access_token og den registration_client_uri, der returneres i svaret, er vigtige til dette:

• Opdater klient: Send en HTTP PUT-anmodning til registration_client_uri med opdaterede klientmetadata, godkendt med registration_access_token.
• Slet klient: Send en HTTP DELETE-anmodning til registration_client_uri, også godkendt med tokenet.

Det er afgørende at beskytte registration_access_token, da det giver fuld kontrol over klientens registrering.

Du har lært om Dynamic Client Registration, en vigtig funktion til automatisering og skalering af OIDC-klienters konfiguration.

• Klienter sender metadata (f.eks. redirect_uris og grant_types) til en OP's Registration Endpoint.
• OP'en svarer med et client_id, eventuelt et client_secret, samt et registration_access_token til administration.
• Denne proces forbedrer udvikleroplevelsen betydeligt og reducerer manuelle konfigurationsfejl.

Som det næste undersøger du OIDC Discovery Endpoint, som hjælper klienter med at finde disse vigtige konfigurationsoplysninger!