Kendi geliştirdiğiniz bir uygulamayı merkezi bir tek oturum açma (SSO) sistemine bağlamak için entegrasyonun her iki tarafını da yapılandırmanız gerekir: IDaaS (kimlik sağlayıcısı) ve uygulamanız (hizmet sağlayıcısı). Bu sayfada, OpenID Connect (OIDC) protokolünü kullanırken her iki tarafta yapılması gereken yapılandırmalar açıklanmaktadır.
IDaaS tarafı yapılandırması
Çoğu dağıtımda yalnızca temel yapılandırma gerekir: Logon Redirect URI değerini ayarlayın ve diğer tüm ayarları varsayılan değerlerinde bırakın.
Temel yapılandırma
| Parametre | Açıklama | Örnek |
|---|---|---|
| Logon Redirect URI | Yönlendirme URI'lerinin izin listesi. Uygulamanız oturum açma isteğinde bulunduğunda bir redirect_uri parametresi ekler. IDaaS, kimlik doğrulama tamamlandıktan sonra kullanıcıları yalnızca bu izin listesindeki URI'lere yönlendirir. Her satıra bir URI ekleyin. |
http://www.example.com/oidc/sso |
| Authorization scope | Bu uygulamaya SSO üzerinden erişebilen kullanıcı kümesi. Mevcut seçenekler için bkz. SSO genel bakışı. | All Users |
Gelişmiş yapılandırma (isteğe bağlı)
| Parametre | Açıklama | Örnek |
|---|---|---|
| User information scopes | UserInfo uç noktası tarafından döndürülen kullanıcı kimliği iddiaları. Bir veya daha fazlasını seçin: openid, email, phone, profile. |
openid, email, profile |
| Access token expiration | Bir access_token belirtecinin geçerlilik süresi. IDaaS API'lerini çağırmak için erişim belirtecini kullanın. Varsayılan: 20 dakika. Minimum: 5 dakika. Maksimum: 24 saat. Süre dolduktan sonra yeni bir tane almak için yenileme belirtecini kullanın veya kullanıcıdan yeniden oturum açmasını isteyin. |
20 minutes |
| ID token expiration | Bir id_token belirtecinin geçerlilik süresi. Kimlik belirteci, kullanıcıyı tanımlayan bir JWT'dir; uygulamanız bunu bir genel anahtar kullanarak doğrular. Varsayılan: 10 saat. Süre dolduktan sonra yeni bir tane almak için yenileme belirtecini kullanın veya kullanıcıdan yeniden oturum açmasını isteyin. |
10 hours |
| Refresh token expiration | Bir refresh_token belirtecinin geçerlilik süresi. Yeni erişim belirteçleri ve kimlik belirteçleri almak için yenileme belirtecini kullanın. Varsayılan: 30 gün. Süre dolduktan sonra kullanıcının yeniden oturum açması gerekir. |
30 days |
| Extended ID token fields | id_token içine eklenecek ek yük alanları. UserInfo uç noktasına yapılan çağrıları azaltmak amacıyla hassas olmayan kullanıcı bilgilerini doğrudan belirteç içinde döndürmek için bu seçeneği kullanın. Yüküne eklenen alanlar herkese açıktır; yalnızca hassas olmayan verileri ekleyin. |
— |
| SSO initiator | SSO akışını kimin başlatabileceğini kontrol eder. OIDC, varsayılan olarak uygulama tarafından başlatılan SSO'yu destekler. Portalın da akışı başlatmasına izin vermek için Support portal-initiated and application-initiated seçeneğini işaretleyin. Bu seçeneği belirlerseniz Logon initiation address alanını doldurun. | Application and portal |
| Logon initiation address | IDaaS'ın portal tarafından başlatılan bir SSO isteğini başlatırken çağırdığı uygulama URL'si. Bu URL bir istek aldığında, yetkilendirme uç noktasına derhal bir /authorize isteği göndermelidir. |
http://www.example.com/oidc/login |
| ID token signature algorithm | id_token imzalamak için kullanılan algoritma. IDaaS asimetrik bir algoritma kullanır; yalnızca RSA-SHA256 algoritması desteklenir. |
SHA256 |
| Logoff callback address | Kullanıcılar IDaaS'tan oturumu kapattıktan sonra yönlendirilecek URL'lerin izin listesi. Uygulamanız, tek oturum kapatma (SLO) isteğinde bu URL'lerden birini içerebilir. | http://www.example.com |
Uygulama tarafı yapılandırması
Uygulamanız, standart OIDC uç noktalarını kullanarak IDaaS ile entegre olur. Tüm uç noktalar, temel URL olarak aynı yayıncı URL'sini paylaşır.
| Uç Nokta | Açıklama | Örnek URL |
|---|---|---|
| Issuer | Belirteç yayıncısı tanımlayıcısı ve aşağıda listelenen tüm uç noktaların temel URL'si. id_token içindeki iss iddiası olarak görünür. |
https://xxxxx.aliyunidaas.com/oidc1 |
| OpenID Connect Discovery | Geçerli IDaaS yapılandırmasını döndürür: desteklenen uç noktalar, akışlar ve parametreler. Herkese açıktır. Diğer tüm uç nokta URL'lerini dinamik olarak keşfetmek için bunu kullanın. | https://xxxxx.aliyunidaas.com/oidc1/.well-known/openid-configuration |
| Authorization endpoint | Uygulamanızın SSO'yu başlatmak için kullanıcıyı yönlendirdiği yer. Kullanıcı burada kimlik doğrulamasından geçer ve bir yetkilendirme kodu alır. | https://xxxxx.aliyunidaas.com/oidc/authorize |
| Token endpoint | Uygulamanızın yetkilendirme kodunu belirteçlerle değiştirdiği yer. Bu isteği tarayıcıdan değil, arka ucunuzdan yapın. | https://xxxxx.aliyunidaas.com/oauth2/token |
| Token revocation endpoint | Süresi dolmadan önce verilmiş bir access_token veya refresh_token belirtecini iptal eder. |
https://xxxxx.aliyunidaas.com/oauth2/revoke |
| JWKS endpoint | id_token imzasını doğrulamak için kullanılan genel anahtar kümesi. Anahtarlar döndürülebilir; anahtarları kalıcı olarak önbelleğe almak yerine bu uç noktayı dinamik olarak alın. |
https://xxxxx.aliyunidaas.com/oidc1/slo |
| UserInfo endpoint | Kimliği doğrulanmış kullanıcı için temel kullanıcı bilgilerini döndürür. Oturum açtıktan sonra bunu geçerli bir access_token ile çağırın. |
https://xxxxx.aliyunidaas.com/oidc1/userinfo |
| End session endpoint | Kullanıcının birincil IDaaS oturumunu sonlandırır (tek oturum kapatma). | — |
Sonraki adımlar
Uygulama kodunuzda tam OIDC oturum açma akışını uygulamak için bkz. SSO için kendi geliştirdiğiniz uygulamayı bağlama.