Requisiti dei provider
Requisiti per collegare un provider di identità a Zero Trust.
I provider sono condivisi nello stesso account. Registra i callback di ogni hostname applicativo che usa il provider.
Protocolli
| Provider | Origine dell’identità |
|---|---|
OpenID Connect su https://accounts.google.com | |
| GitHub | OAuth con ID utente numerico ed email principale verificata |
| OpenID Connect | Rilevamento automatico dall’issuer HTTPS configurato |
| OAuth 2.0 | Endpoint di autorizzazione, token e identità configurati |
I flussi OAuth richiedono codici di autorizzazione e Proof Key for Code Exchange (PKCE) con S256. Un provider OAuth personalizzato deve supportare questi requisiti.
Per OAuth personalizzato, l’autenticazione al token endpoint supporta client_secret_basic (predefinito) o client_secret_post. OpenID Connect rileva il metodo supportato. Puoi richiedere scope aggiuntivi quando necessario.
Risposta di identità
Un endpoint di identità OAuth personalizzato riceve il token bearer ottenuto dallo scambio. Deve restituire un valore sub stabile che identifichi l’account:
{
"sub": "immutable-user-42",
"email": "admin@example.com",
"email_verified": true,
"name": "Application administrator"
}Le regole email richiedono il booleano email_verified: true. Il nome è facoltativo. Usa il soggetto immutabile per associare gli account; un nome visualizzato o un nome utente modificabile non è adatto.
Callback
Registra il callback esatto mostrato nell’editor del provider per ogni hostname applicativo:
https://APPLICATION-HOST/_loclix/access/callback/PROVIDER-IDLe transazioni di autenticazione scadono dopo cinque minuti e richiedono il cookie della transazione nel browser. Avviare un altro accesso sullo stesso hostname sostituisce la transazione precedente.
Requisiti degli endpoint
Gli endpoint dei provider devono usare HTTPS e indirizzi IP pubblici. Gli indirizzi privati, di loopback, riservati e dei servizi di metadati vengono rifiutati, così come i reindirizzamenti HTTP.
Ogni sito consente 16 scambi simultanei e 120 passaggi di autenticazione per IP client al minuto.
Modifiche alle credenziali
Un segreto vuoto conserva il valore salvato solo se identità del provider, ID client ed endpoint delle credenziali non cambiano. Fornisci un nuovo segreto quando modifichi uno di questi valori.
Guide dei provider
Segui Provider di identità per aggiungere un provider in Loclix.