Quand utiliser ce flux ?

Lorsqu'App ID ne propose pas de prise en charge directe pour un fournisseur d'identité particulier, vous pouvez utiliser le flux d'identité personnalisé pour relier le protocole d'authentification au flux d'authentification existant d'App ID. Par exemple, vous pouvez utiliser GitHub ou LinkedIn pour autoriser vos utilisateurs à se connecter. Vous pouvez utiliser le logiciel SDK existant du fournisseur d'identité pour faciliter les informations d'authentification de l'utilisateur avant de les conditionner et de les échanger avec App ID.

Il existe de nombreux scénarios dans lesquels un flux d'authentification différent est nécessaire :

• Fournisseurs d'identité propriétaires internes
• Fournisseurs d'identité tiers
• Flux d'authentification complexes pouvant inclure des mécanismes propriétaires multi-facteurs

Occasionnellement, un fournisseur existant peut utiliser son propre protocole d'authentification personnalisé. Comme le flux d'identité personnalisé dissocie complètement l'authentification de l'autorisation, vous pouvez adopter n'importe quel mécanisme d'authentification de votre choix, puis fournir les informations d'authentification obtenues à App ID. Tout cela, sans exposer les données d'identification de l'utilisateur.

Comment fonctionne ce flux d'un point de vue technique ?

Le flux de travail de l'identité personnalisée est construit sur le type d'octroi de l'extension JWT-Bearer qui est défini dans le cadre d'assertion pour OAuth 2.0 Authorization Grants [RFC7521 ]. Pour échanger des informations utilisateur contre des jetons App ID, votre architecture d'authentification crée une relation de confiance avec App ID à l'aide d'une paire de clés asymétriques RSA. Une fois la relation de confiance établie, vous pouvez utiliser le type d'octroi JWT-Bearer pour échanger des informations utilisateur vérifiées dans un jeton JWT signé pour des jetons App ID.

A quoi ressemble le flux ?

Comme pour tous les flux d'authentification, l'identité personnalisée nécessite que l'application soit en mesure d'établir un degré de confiance avec App ID afin de garantir l'intégrité des informations utilisateur du fournisseur d'identité. L'identité personnalisée utilise une paire de clés publiques et privées RSA asymétriques pour établir sa relation de confiance. Selon vos exigences architecturales, l'identité personnalisée prend en charge deux modèles de confiance qui diffèrent uniquement par l'emplacement de stockage et l'utilisation de la clé privée.

Exemple de format JWT

{
  // Header
  "alg": "RS256",
  "typ": "JOSE",
  // Payload
  // Required
  "iss": "String", // Should reference your identity provider
  "aud": "String", // Must be the OAuth server URL name
  "exp": "Int",    // Should be a value with a short lifespan
  "sub": "String", // Must be the unique user ID provided by your identity provider

  // Normalized claims (optional)
  "name": "String",
  "email": "String",
  "locale": "String",
  "picture": "String",
  "gender": "String",

  // Custom Scopes to add to access token (optional)
  scope="custom_scope1 custom_scope2"

  // Other custom claims (optional)
  role="admin"
}