Type d'octroi d'échange de jetons : échange d'un jeton Web JSON pour un UPST

Flux

Avis de non-responsabilité : tous les noms de produits, logos, marques et logos sont des marques commerciales de leurs propriétaires respectifs et utilisés ici à titre informatif uniquement.

Etapes d'échange de jetons JWT vers UPST

Pour échanger un jeton JWT contre un jeton UPST, procédez comme suit :

1. Step1 : (facultatif) création d'un domaine d'identité
2. Etape 2 : création d'applications de domaine d'identité
3. Etape 3 : (facultatif) utilisation d'un utilisateur de service
4. Etape 4 : création d'une configuration sécurisée de propagation d'identité
5. Etape 5 : génération d'une clé publique
6. Etape 6 : génération d'un jeton JWT à échanger contre UPST
7. Etape 7 : Obtention de l'UPST OCI

Step1 : (facultatif) création d'un domaine d'identité

Créez un domaine d'identité s'il n'existe pas. Reportez-vous à Création d'un domaine d'identité.

Etape 2 : création d'applications de domaine d'identité

Un client OAuth est une application sécurisée inscrite auprès d'Identity Cloud Service pour l'authentification et l'obtention de jetons d'accès à l'aide de flux OAuth 2.0. Vous utilisez ce client pour :

• Obtenez un jeton d'accès pour appeler les API d'administration IDCS.

• Fédérez l'identité de l'application pour échanger JWT contre UPST.

Reportez-vous à Ajout d'une application confidentielle. Une fois l'application créée, enregistrez l'ID client et la clé secrète client dans un emplacement sécurisé. Vous avez besoin de deux applications de domaine d'identité en suivant le principe du moindre privilège (PoLP) :

• Application avec le rôle d'application Administrateur de domaine d'identité (IDA). Vous utilisez un jeton d'accès généré à l'aide de cette application pour effectuer des opérations sur la sécurisation de propagation d'identité (Etape 4 : création d'une configuration de sécurisation de propagation d'identité) et l'utilisateur de service (Etape 3 : utilisation d'un utilisateur de service (facultatif)).
• Une autre application de domaine d'identité sans rôle d'application d'administrateur de domaine d'identité ou aucun rôle d'administrateur. Vous utilisez les informations d'identification client pour cette deuxième application de domaine d'identité afin d'appeler l'API d'échange de jetons. Vous devez autoriser cette application à être utilisée avec l'échange de jetons en configurant un ID client pour l'application dans IdentityPropagationTrust.

En outre, l'application avec le rôle d'application Administrateur de domaine d'identité élevé peut également effectuer JWT vers UPST Token Exchange.

Génération d'un jeton d'accès avec le rôle d'administrateur de domaine d'identité

Utilisez l'application avec le rôle d'application Administrateur de domaine d'identité défini pour générer un jeton d'accès. Reportez-vous à Génération de jetons d'accès. Utilisez le jeton d'accès généré pour effectuer des opérations CRUD (création, remplacement, mise à jour, suppression) sur IdentityPropagationTrusts (Etape 4 : création d'une configuration sécurisée de propagation d'identité) et l'utilisateur de service (Etape 3 : (facultatif) utilisation d'un utilisateur de service).

Etape 3 : (facultatif) utilisation d'un utilisateur de service

Un utilisateur de service est un utilisateur de domaine d'identité sans privilèges de connexion interactifs. Ils ont un minimum de privilèges.

Les utilisateurs de service peuvent être accordés à des groupes et des applications. Les applications peuvent utiliser des utilisateurs de service ou l'utilisateur connecté peut les usurper d'identité pour obtenir un jeton UPST temporaire.

Les utilisateurs du service présentent les caractéristiques suivantes :

• Doit avoir un élément userName. Le prénom et le nom ne sont pas obligatoires.
• Peut avoir une adresse e-mail (facultatif).
• Peut être membre de groupes et de rôles d'application.
• Impossible d'avoir des clés d'API.
• Impossible d'utiliser des adresses en libre-service.
• Impossible d'avoir des mots de passe et les stratégies de mot de passe ne s'appliquent pas.

Exemple de demande : création d'un utilisateur de service

Voici un exemple de demande avec les attributs minimum requis pour créer un utilisateur de service avec l'attribut serviceUser défini sur true..

## POST on https://<domainURL>/admin/v1/Users
 
## Header:
"Authorization: Bearer <IDA_Access_Token>" \
"Content-Type: application/json"
 
## Payload:
{
    "schemas": [
        "urn:ietf:params:scim:schemas:core:2.0:User"
    ],
    "urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User": {
        "serviceUser": true
    },
    "userName": "myServiceUserName"
}

Exemple de réponse : création d'un utilisateur de service

L'exemple suivant illustre une réponse lors de la création d'un utilisateur de service.

{
    "idcsCreatedBy": {
        "type": "App",
        "display": "admin"
    },
    "id": "<user_id>",
    "urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User": {
        "isFederatedUser": false,
        "isGroupMembershipSyncedToUsersGroups": true,
        "serviceUser": true
    },
    "meta": {
        "created": "2023-12-07T06:52:55.380Z",
        "lastModified": "2023-12-07T06:52:55.380Z",
        "version": "<version>",
        "resourceType": "User",
        "location": "https://<domainURL>/admin/v1/Users/<user_id>"
    },
    "active": true,
    "idcsLastModifiedBy": {
        "display": "admin",
        "type": "App"
    },
    "urn:ietf:params:scim:schemas:oracle:idcs:extension:userState:User": {
        "locked": {
            "on": false
        }
    },
    "ocid": "ocid1.user.region1...<ocid>",
    "userName": "myServiceUserName",
    "schemas": [
        "urn:ietf:params:scim:schemas:core:2.0:User",
        "urn:ietf:params:scim:schemas:oracle:idcs:extension:userState:User",
        "urn:ietf:params:scim:schemas:oracle:idcs:extension:capabilities:User",
        "urn:ietf:params:scim:schemas:oracle:idcs:extension:user:User"
    ]
}

Etape 4 : création d'une configuration sécurisée de propagation d'identité

La configuration de sécurisation de propagation des identités est utilisée pour établir la sécurisation entre OCI Identity et les fournisseurs cloud externes, la validation du jeton de fournisseur cloud et la mise en correspondance de l'identité utilisateur du fournisseur cloud avec l'identité utilisateur service des domaines d'identité.

"oauthClients": [
 "oauthclient-id"
 ],

Exemple de demande : création d'une configuration sécurisée de propagation d'identité

## POST on https://<secureDomainURL>/admin/v1/IdentityPropagationTrusts
## Header:
"Authorization: Bearer <IDA_Access_Token>" \
"Content-Type: application/json"
 
## Payload:
{
  "active": true,
  "allowImpersonation": true,
  "issuer": "<<UNIQUE_ISSUER_VALUE>>",
  "name": "Token Trust JWT to UPST",
  "oauthClients": [
  "<oauthclient-id>"
  ],
  "publicCertificate": "<public_certificate_value>",
  "publicKeyEndpoint": "https://example.identityprovider.com/publickey/<publickey_value>",
  "clientClaimName": "client_claim_name",
  "clientClaimValues": [
  "<<client_claim_value>>"
  ],
  "impersonationServiceUsers": [
    {
      "rule": "sub eq *",
      "value": "<<user_id>>"
    }
  ],
  "subjectType": "User",
  "type": "JWT",
  "schemas": [
  "urn:ietf:params:scim:schemas:oracle:idcs:IdentityPropagationTrust"
  ]
}

Exemple de réponse

{
  "active": true,
  "allowImpersonation": true,
  "issuer": "<<UNIQUE_ISSUER_VALUE>>",
  "name": "Token Trust JWT to UPST",
  "oauthClients": [
  "<oauthclient-id>"
  ],
  "publicCertificate": "<public_certificate_value>",
  "publicKeyEndpoint": "https://example.identityprovider.com/publickey/<publickey_value>",
  "clientClaimName": "client_claim_name",
  "clientClaimValues": [
  "<<client_claim_value>>"
  ],
  "subjectType": "User",
  "type": "JWT",
  "schemas": [
  "urn:ietf:params:scim:schemas:oracle:idcs:IdentityPropagationTrust"
  ]
}

Exemple de demande : pour allowImpersonation, définissez la configuration sécurisée de propagation d'identité sur false

{
    "active": true,
    "allowImpersonation": false,
    "issuer": "<<issuer_value>>",
    "name": "Token Trust JWT to UPST",
    "oauthClients": [
        "25d123....."
    ],
    "publicKeyEndpoint": "https://<<secureDomainURL>>/admin/v1/SigningCert/jwk",
    "clientClaimName": "client_name",
    "clientClaimValues": ["<<client_name_value>>"],
    "subjectClaimName": "sub",
    "subjectMappingAttribute": "userName",
    "subjectType": "User",
    "type": "JWT",
    "schemas": [
        "urn:ietf:params:scim:schemas:oracle:idcs:IdentityPropagationTrust"
    ]
}

Exemple de demande : extraction d'une configuration sécurisée de propagation d'identité

## GET on https://<secureDomainURL>/admin/v1/IdentityPropagationTrusts/{{id}}
## Header:
"Authorization: Bearer <IDA_Access_Token>"

Si allowImpersonation est défini sur "true" et que impersonationServiceUsers est défini dans la sécurisation de propagation d'identité, utilisez l'exemple de demande suivant.

## GET on https://<secureDomainURL>/admin/v1/IdentityPropagationTrusts/{{id}}?attributes=impersonationServiceUsers
## Header:
"Authorization: Bearer <IDA_Access_Token>"

Exemple de réponse

{
  "active": true,
  "allowImpersonation": true,
  "issuer": "<<UNIQUE_ISSUER_VALUE>>",
  "name": "Token Trust JWT to UPST",
  "oauthClients": [
  "<oauthclient-id>"
  ],
  "publicCertificate": "<public_certificate_value>",
  "publicKeyEndpoint": "https://example.identityprovider.com/publickey/<publickey_value>",
  "clientClaimName": "client_claim_name",
  "clientClaimValues": [
  "<<client_claim_value>>"
  ],
  "subjectClaimName": "sub",
  "subjectMappingAttribute": "userName",
  "subjectType": "User",
  "type": "JWT",
  "impersonationServiceUsers": [
  {
       "ocid": "ocid1.user.oc1..this.is.user.ocid",
       "rule": "sub eq *",
       "value": "<<user_id>>",
       "$ref": "https://<<secureDomainURL>>/admin/v1/Users/<<user_id>>"
  }
  "schemas": [
  "urn:ietf:params:scim:schemas:oracle:idcs:IdentityPropagationTrust"
  ]
}

Etape 5 : génération d'une clé publique

Utilisez les commandes suivantes dans un terminal (Linux/macOS) ou Git Bash sous Windows :

# Generate a 2048-bit RSA private key
openssl genrsa -out private_key.pem 2048
 
# Extract the public key in PEM format
openssl rsa -in private_key.pem -pubout -out public_key.pem

Après l'exécution de ces opérations :

• private_key.pem est la clé privée utilisée pour signer le jeton JWT.

• public_key.pem est la clé publique utilisée par OCI pour vérifier la signature JWT.

Etape 6 : génération d'un jeton JWT à échanger contre UPST

Générez un jeton JWT avec le workflow d'informations d'identification de mot de passe de propriétaire de ressource d'OCI, le workflow d'informations d'identification client et le workflow d'assertion utilisateur, ou avec tout IdPs externe tel que Microsoft Entra ID, l'authentification Google Firebase, AWS Cognito, Okta, etc. Jeton JWT généré :

• Contient des demandes concernant l'utilisateur ou la charge de travail.

• Est signé par la clé privée du fournisseur d'identités afin qu'OCI puisse vérifier son authenticité à l'aide de la clé publique.

• Est échangé au niveau de l'adresse de jeton de sécurité d'OCI contre un UPST.

Etape 7 : Obtention de l'UPST OCI

Le jeton JWT est échangé à l'adresse d'échange de jetons OCI. L'adresse de jeton décode et vérifie la signature JWT à l'aide de la clé publique de la configuration de sécurisation, valide les demandes d'émetteur et de correspondance telles que définies dans la sécurisation de propagation d'identité et génère l'UPST.

L'UPST généré reçu est utilisé pour accéder aux ressources à l'aide du kit SDK/API OCI.

Exemple de demande de jeton UPST : basé sur une application de domaine d'identité

Voici un exemple de demande cURL basée sur une application de domaine d'identité OCI.

## IAM Domain App Based Request. Note that client credentials can be sent as part of basic authn header or in the payload. 
curl --location ' https://<domainURL>/oauth2/v1/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic <auth_code>' \
--data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
--data-urlencode 'requested_token_type=urn:oci:token-type:oci-upst' \
--data-urlencode 'public_key=<public_key>' \
--data-urlencode 'subject_token=<subject_token>' \
--data-urlencode 'subject_token_type=jwt' -k
{
   "token": "<token_id>"
}