Introduktion til OpenID Connect

»Identitetslag« betyder, at OIDC leverer et forudsigeligt format til identitetsoplysninger. Det fortæller dig hvem brugeren er, ikke kun hvad brugeren har adgang til.

Det er afgørende for applikationer, der skal kende brugerens navn, e-mailadresse eller andre profiloplysninger, efter brugeren er logget ind.

Den centrale del af OpenID Connect er ID Token. Det er et sikkerhedstoken, der indeholder claims om godkendelseshændelsen og brugeren.

Når en bruger godkendes korrekt hos en OIDC-udbyder, udstedes et ID Token til klientapplikationen.

ID Token er altid et JSON Web Token (JWT). Det betyder, at det er en kompakt, URL-sikker måde at repræsentere claims mellem to parter på.

Da ID Token er en JWT, signeres det kryptografisk af identitetsudbyderen, hvilket sikrer dets integritet og ægthed.

Et ID-token (JWT) indeholder forskellige "claims" – oplysninger om brugeren og godkendelseshændelsen. Nogle standard-claims omfatter:

• iss: Udsteder (hvem der udstedte tokenet)
• sub: Emne (unik identifikator for brugeren)
• aud: Målgruppe (hvem tokenet er beregnet til)
• exp: Udløbstidspunkt
• iat: Udstedelsestidspunkt

Disse claims hjælper klienten med at bekræfte tokenet og identificere brugeren.

Ligesom med OAuth2 involverer OIDC brugersamtykke. Når din applikation anmoder om identitetsoplysninger (f.eks. e-mail eller profil), bliver brugeren bedt om at godkende det.

Det sikrer, at brugerne har kontrol over, hvilke personlige data der deles med tredjepartsapplikationer.

Her er et forenklet overblik over, hvordan OIDC fungerer:

1. Brugeren klikker på "Login with Google" (eller noget tilsvarende) i din app.
2. Din app omdirigerer brugeren til Google (OIDC-udbyderen).
3. Brugeren logger ind og giver samtykke til at dele oplysninger.
4. Google omdirigerer brugeren tilbage til din app med et ID-token.
5. Din app bekræfter ID-tokenet og logger brugeren ind.

OIDC giver flere fordele for moderne applikationer:

• Single Sign-On (SSO): Brugere kan logge ind én gang og få adgang til flere applikationer.
• Standardisering: En forudsigelig måde at hente identitetsoplysninger på tværs af udbydere.
• Enkelhed: Det er nemmere for udviklere at implementere godkendelse end med skræddersyede løsninger.
• Velegnet til mobil og web: Designet til at fungere godt med forskellige klienttyper.

Godt arbejde! Du forstår nu det grundlæggende i OpenID Connect.

• OIDC bygger videre på OAuth2 og tilføjer et identitetslag.
• Fokus er på godkendelse: at bekræfte hvem brugeren er.
• Kernekomponenten er ID-tokenet, et signeret JWT med brugerens claims.
• OIDC forenkler SSO og giver en standardiseret måde at hente brugerens identitet på.

Derefter ser vi på forskellige OAuth2-bevillingstyper, som OIDC også benytter.