OIDC、企业登录与身份映射
API、身份认证与企业系统集成#FDE#第六阶段#API、身份认证与企业系统集成#OIDC、企业登录与身份映射约 561 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
OIDC 在 OAuth 之上增加了哪些身份能力？
追问 ID Token 与用户信息端点各用于什么？为什么不能用任意 Access Token 当作登录证明？
企业 SSO 接入前需要确认哪些配置？
追问 发行者、客户端、回调、用户声明与环境如何核对？SSO 是否一定意味着使用 OIDC？
怎样验证 ID Token 属于本次登录？
追问 签名、issuer、audience、时间和 nonce 各检查什么？哪些要求依赖具体流程？
本地用户怎样关联企业身份？
追问 issuer 与 subject 为什么需要共同考虑？仅靠邮件地址可能遇到什么变更或重复？
怎样处理首次登录时的用户创建？
追问 自动开通、邀请和人工审批各适合什么规则？身份存在是否代表获得业务权限？
企业组或部门声明怎样映射本地角色？
追问 缺失、过期与未知组怎样处理？高权限映射是否应默认允许？
用户资料变化后，本地数据怎样更新？
追问 名称、部门和禁用状态各如何传播？登录时同步能否覆盖未再次登录的用户？
本地退出与企业身份服务退出有何区别？
追问 多应用、多设备和服务端会话如何处理？实际登出协议需要哪些确认？
身份服务不可用时，应用允许什么行为？
追问 既有会话与新登录如何区分？短期可用性与权限新鲜度怎样取舍？
怎样验收企业登录集成？
追问 有效、取消、过期、错误发行者和禁用用户如何测试？哪些结果应关联服务端记录？