Implémentation de l'authentification unique à l'aide d'OpenID Connect et de l'utilisation des jetons

Question

Scénario - Application (s) héritée (s) devant être authentifiée (s) à l'aide d'OpenID connect. Nous utilisons Keycloak comme IP.

Tout, j'ai vraiment besoin d'un mécanisme d'authentification unique pour plusieurs applications. Après l'authentification, j'ai également besoin de l'information 'user-id' (demande). J'ai le access_token (portée openid). Ai-je besoin d'un id_token pour accéder aux informations "identifiant utilisateur"? ou ai-je besoin de décoder "access_token?

Answer 1

Vous avez vraiment besoin de la id_token parce que ce jeton vous indique qui l'utilisateur est que connecté, où l'utilisateur connecté à et si le jeton a été effectivement émis pour votre application et non

La access_token a une sémantique différente: elle ne vous dit rien à part mais peut être utilisée pour accéder à des ressources protégées De plus, le jeton d'accès peut être échangé par un intermédiaire.