Single Sign-On (SSO) #

準備驗證請求的參數 #

假設使用者透過第三方軟體使用 AWS 資源，例如查看 Cloudwatch Dashboard，此時 User Agent 收到的回應會像這樣：

HTTP/1.1 302 Found
Location: https://server.example.com/authorize?
    response_type=code
    &scope=openid%20profile%20email
    &client_id=s6BhdRkqt3
    &state=af0ifjsldkj
    &redirect_uri=https%3A%2F%2Fclient.example.org%2Fcb

也就是 AWS 會將使用者導到身份供應商，常見的供應商例如 Auth0、okta等等。

發送驗證請求 #

User Agent 收到 302 返回後，會根據返回的地址像被導向的身分供應商發出驗證請求。在這裏 OIDC 規定必須要支援 GET/POST 兩種方法。

GET /authorize?
    response_type=code
    &scope=openid%20profile%20email
    &client_id=s6BhdRkqt3
    &state=af0ifjsldkj
    &redirect_uri=https%3A%2F%2Fclient.example.org%2Fcb HTTP/1.1
Host: server.example.com

驗證請求 #

身分供應商驗證請求主要驗證四件事情：

1. 驗證所有 OAuth2 的參數符合規範。
2. 驗證 scope 欄位必須要含有 openid 這個值。
3. 檢查所有 OAuth2 標示為 REQUIRED 的參數不為空。
4. 如果 ID Token 有要求 sub 欄位需要是特定的值，身份供應商只能在 sub 值相同並擁有還未過期的 session 時才能給正向的回覆。

認證使用者 #

使用者此時在身份供應商提供的 End-User 驗證頁面。驗證成功後會將使用者導向 Token Endpoint，此時的 redirect uri 身上是有授權碼的，透過這個授權碼可以向 Token Endpoint 取得 ID Token/Access Token。

HTTP/1.1 302 Found
Location: https://client.example.org/cb?
    code=SplxlOBeZQQYbYS6WxSbIA
    &state=af0ifjsldkj

取得 ID Token/Access Token #

ID Token 會是 JWT 格式，這也是 OIDC 與 SAML 最大的差異，而 ID Token的驗證通常都是以公私鑰的方式完成。詳細的驗證規範需要參考文件。

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
    "access_token": "SlAV32hkKG",
    "token_type": "Bearer",
    "refresh_token": "8xLOxBtZp8",
    "expires_in": 3600,
    "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjFlOWdkazcifQ.ewogImlzc
        yI6ICJodHRwOi8vc2VydmVyLmV4YW1wbGUuY29tIiwKICJzdWIiOiAiMjQ4Mjg5
        NzYxMDAxIiwKICJhdWQiOiAiczZCaGRSa3F0MyIsCiAibm9uY2UiOiAibi0wUzZ
        fV3pBMk1qIiwKICJleHAiOiAxMzExMjgxOTcwLAogImlhdCI6IDEzMTEyODA5Nz
        AKfQ.ggW8hZ1EuVLuxNuuIJKX_V8a_OMXzR0EHR9R6jgdqrOOF4daGU96Sr_P6q
        Jp6IcmD3HP99Obi1PRs-cwh3LO-p146waJ8IhehcwL7F09JdijmBqkvPeB2T9CJ
        NqeGpe-gccMg4vfKjkM8FcGvnzZUN4_KSP0aAp1tOJ1zZwgjxqGByKHiOtX7Tpd
        QyHE5lcMiKPXfEIQILVq0pc_E2DzL7emopWoaoZTF_m0_N0YzFC6g6EJbOEoRoS
        K5hoDalrcvRYLSrQAZZKflyuVCyixEoV9GfNQC3_osjzw2PAithfubEEBLuVVk4
        XUVrWOLrLl0nx7RkKU8NXNHq-rvKMzqg"
}

最後就可以藉由 ID Token/Access Token 取得資源。