{"id":71307,"date":"2020-02-24T22:18:55","date_gmt":"2020-02-24T19:18:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt"},"modified":"2020-03-03T16:14:27","modified_gmt":"2020-03-03T13:14:27","slug":"identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt","title":{"rendered":"IdentityServer4. Z\u00e1kladn\u00ed pojmy. OpenID Connect, OAuth 2.0 a JWT","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Tento p\u0159\u00edsp\u011bvek chci v\u011bnovat s\u00e9rii \u010dl\u00e1nk\u016f na t\u00e9ma IdentityServer4. Za\u010dneme z\u00e1kladn\u00edmi pojmy.<\/p>\n

<\/p>\n

Nejperspektivn\u011bj\u0161\u00edm st\u00e1vaj\u00edc\u00edm autentiza\u010dn\u00edm protokolem je OpenID Connect<\/a><\/noindex>, zat\u00edmco protokolem autorizace (poskytov\u00e1n\u00ed p\u0159\u00edstupu) je OAuth 2.0<\/a><\/noindex>. IdentityServer4<\/a><\/noindex> implementuje tyto dva protokoly. Je optimalizov\u00e1n pro \u0159e\u0161en\u00ed typick\u00fdch probl\u00e9m\u016f<\/strong> bezpe\u010dnosti.<\/p>\n

<\/a><\/noindex><\/p>\n

OpenID Connect<\/a><\/noindex> \u2014 to je protokol a standard autentizace, nezaji\u0161\u0165uje p\u0159\u00edstup k prost\u0159edk\u016fm (Web API), ale proto\u017ee je vyvinut na z\u00e1klad\u011b protokolu autorizace OAuth 2.0<\/a><\/noindex>, umo\u017e\u0148uje z\u00edskat parametry profilu u\u017eivatele, jako byste z\u00edskali p\u0159\u00edstup k prost\u0159edku UserInfo<\/a><\/noindex>.<\/p>\n

JWT<\/a><\/noindex> (JSON Web Token) p\u0159edstavuje webov\u00fd standard, kter\u00fd ur\u010duje zp\u016fsob p\u0159enosu informac\u00ed o u\u017eivateli ve form\u00e1tu JSON v \u0161ifrovan\u00e9 podob\u011b.<\/p>\n

OAuth 2.0 (RFC 6749)<\/a><\/noindex> \u2014 to je protokol a standard autorizace. Umo\u017e\u0148uje aplikac\u00edm z\u00edskat p\u0159\u00edstup k chr\u00e1n\u011bn\u00fdm prost\u0159edk\u016fm, nap\u0159\u00edklad k Web API.<\/p><\/blockquote>\n

Pod\u00edvejme se na diagram p\u0159\u00edstupu k chr\u00e1n\u011bn\u00e9mu prost\u0159edku a prozkoumejme z\u00e1kladn\u00ed kroky a p\u0159ijatou terminologii:<\/p>\n

<\/p>\n

\"IdentityServer4.<\/p>\n

<\/p>\n

    \n
  1. \n

    Klient \u017e\u00e1d\u00e1 u\u017eivatele o povolen\u00ed autorizovat ho jeho jm\u00e9nem. Z\u00e1kazn\u00edk<\/strong> \u2014 to je klientsk\u00e1 aplikace, kter\u00e1 p\u0159istupuje k chr\u00e1n\u011bn\u00fdm prost\u0159edk\u016fm jm\u00e9nem vlastn\u00edka prost\u0159edk\u016f. Zdrojem<\/strong> \u2014 to jsou v\u0161echny na\u0161e chr\u00e1n\u011bn\u00e9 slu\u017eby Web API<\/a><\/noindex>.<\/p>\n

    \n<\/li>\n

  2. \n

    U\u017eivatel povoluje klientsk\u00e9 aplikaci, aby se autorizovala jeho jm\u00e9nem, nap\u0159\u00edklad zad\u00e1n\u00edm u\u017eivatelsk\u00e9ho jm\u00e9na a hesla. U\u017eivatelsk\u00e9 jm\u00e9no a heslo budou p\u0159edstavovat grant autorizace pro klientskou aplikaci. U\u017eivatel (vlastn\u00edk prost\u0159edku)<\/strong> \u2014 program nebo osoba, kter\u00e1 m\u016f\u017ee ud\u011blit p\u0159\u00edstup k chr\u00e1n\u011bn\u00fdm prost\u0159edk\u016fm, nap\u0159\u00edklad zad\u00e1n\u00edm u\u017eivatelsk\u00e9ho jm\u00e9na (username) a hesla (password);<\/p>\n

    \n<\/li>\n

  3. \n

    Klientsk\u00e1 aplikace \u017e\u00e1d\u00e1 o p\u0159\u00edstupov\u00fd token u IdentityServer4<\/code> poskytnut\u00edm informac\u00ed o sob\u011b (client_id<\/code>, client_secret<\/code>), poskytnut\u00edm povolen\u00ed k autorizaci od u\u017eivatele (u\u017eivatelsk\u00e9 jm\u00e9no<\/code>, heslo<\/code>) a poskytnut\u00edm grant_type<\/code> a scope<\/code>. Pot\u00e9 server autorizace ov\u011b\u0159uje platnost klienta a \u00fadaje vlastn\u00edka prost\u0159edku (u\u017eivatelsk\u00e9 jm\u00e9no a heslo). <\/p>\n

    <\/p>\n

    Protokol OAuth 2.0 prov\u00e1d\u00ed autentizaci nejen u\u017eivatele, ale i klientsk\u00e9 aplikace, kter\u00e1 p\u0159istupuje k prost\u0159edk\u016fm. Pro tento \u00fa\u010del protokol zahrnuje takov\u00e9 parametry jako client_id<\/strong> a client_secret<\/strong>.
    \nclient_id<\/strong> \u2014 to je identifik\u00e1tor klientsk\u00e9 aplikace, kter\u00fd se pou\u017e\u00edv\u00e1 IdentityServer4<\/code> k nalezen\u00ed informac\u00ed o klientovi.
    \nclient_secret<\/strong> je analogi\u00ed hesla pro klientskou aplikaci a pou\u017e\u00edv\u00e1 se k autentizaci klientsk\u00e9 aplikace na IdentityServer4<\/code>. Tajn\u00fd kl\u00ed\u010d klienta by m\u011bl b\u00fdt zn\u00e1m pouze aplikaci a API<\/strong>. Na z\u00e1klad\u011b v\u00fd\u0161e uveden\u00e9ho m\u016f\u017eeme uzav\u0159\u00edt, \u017ee IdentityServer4 mus\u00ed v\u011bd\u011bt o sv\u00fdch klientech<\/strong>.<\/p><\/blockquote>\n

    \n<\/li>\n

  4. \n

    Pokud je platnost aplikace potvrzena a opr\u00e1vn\u011bn\u00ed k autorizaci je skute\u010dn\u011b platn\u00e9, IdentiryServer4<\/code> vytv\u00e1\u0159\u00ed access token<\/code> (p\u0159\u00edstupov\u00fd token) pro aplikaci a voliteln\u00fd refresh token (refresh token<\/code>). Proces autorizace je dokon\u010den. Pokud je \u017e\u00e1dost neplatn\u00e1 nebo neopr\u00e1vn\u011bn\u00e1, server autorizace vrac\u00ed k\u00f3d s odpov\u00eddaj\u00edc\u00ed chybovou zpr\u00e1vou.<\/p>\n

    \n<\/li>\n

  5. \n

    Klientsk\u00e1 aplikace \u017e\u00e1d\u00e1 o data od chr\u00e1n\u011bn\u00e9ho Web API, p\u0159i\u010dem\u017e poskytuje p\u0159\u00edstupov\u00fd token pro autorizaci. Pokud k\u00f3d odpov\u011bdi serveru zdroj\u016f 401<\/a><\/noindex>, 403<\/a><\/noindex> nebo 498<\/a><\/noindex>, pak je p\u0159\u00edstupov\u00fd token, kter\u00fd se pou\u017e\u00edv\u00e1 pro autentizaci, neplatn\u00fd nebo vypr\u0161el.<\/p>\n

    \n<\/li>\n

  6. \n

    Pokud je token platn\u00fd, Web API<\/code> poskytuje \u00fadaje aplikaci.<\/p>\n

    \n<\/li>\n<\/ol>\n

    <\/p>\n

    Typy token\u016f<\/em><\/h4>\n

    <\/p>\n

    Zaregistrovan\u00fdm v IdentityServer4<\/code> klient\u016fm je povoleno po\u017eadovat IdentityServer4<\/code> identity<\/code>-token, access<\/code>-token a Obnovit obrazy<\/code>-token.<\/p>\n

    <\/p>\n