{"id":71307,"date":"2020-02-24T22:18:55","date_gmt":"2020-02-24T19:18:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt"},"modified":"2020-03-03T16:14:27","modified_gmt":"2020-03-03T13:14:27","slug":"identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/identityserver4-osnovnye-ponyatiya-openid-connect-oauth-2-0-i-jwt","title":{"rendered":"IdentityServer4. Alapfogalmak. OpenID Connect, OAuth 2.0 \u00e9s JWT","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ezzel a bejegyz\u00e9ssel szeretn\u00e9m megnyitni az IdentityServer4-r\u0151l sz\u00f3l\u00f3 cikkek sorozat\u00e1t. Az alapfogalmakkal kezdj\u00fck.<\/p>\n

<\/p>\n

Jelenleg a leg\u00edg\u00e9retesebb hiteles\u00edt\u00e9si protokoll OpenID Connect<\/a><\/noindex>, m\u00edg a hozz\u00e1f\u00e9r\u00e9si enged\u00e9lyez\u00e9si protokoll OAuth 2.0<\/a><\/noindex>. IdentityServer4<\/a><\/noindex> val\u00f3s\u00edtja meg ezeket a k\u00e9t protokollt. Optimaliz\u00e1lva van a tipikus biztons\u00e1gi probl\u00e9m\u00e1k<\/strong> kezel\u00e9s\u00e9re.<\/p>\n

<\/a><\/noindex><\/p>\n

OpenID Connect<\/a><\/noindex> \u2014 ez egy hiteles\u00edt\u00e9si protokoll \u00e9s szabv\u00e1ny, amely nem biztos\u00edt hozz\u00e1f\u00e9r\u00e9st az er\u0151forr\u00e1sokhoz (Web API), de mivel az enged\u00e9lyez\u00e9si protokollra \u00e9p\u00fcl OAuth 2.0<\/a><\/noindex>, lehet\u0151v\u00e9 teszi a felhaszn\u00e1l\u00f3i profilparam\u00e9terek megszerz\u00e9s\u00e9t, mintha hozz\u00e1f\u00e9r\u00e9st kaptunk volna az er\u0151forr\u00e1shoz. UserInfo<\/a><\/noindex>.<\/p>\n

JWT<\/a><\/noindex> A (JSON Web Token) egy webes szabv\u00e1ny, amely meghat\u00e1rozza a felhaszn\u00e1l\u00f3i adatok JSON form\u00e1tumban t\u00f6rt\u00e9n\u0151, titkos\u00edtott tov\u00e1bb\u00edt\u00e1s\u00e1nak m\u00f3dj\u00e1t.<\/p>\n

OAuth 2.0 (RFC 6749)<\/a><\/noindex> \u2014 ez egy enged\u00e9lyez\u00e9si protokoll \u00e9s szabv\u00e1ny. Lehet\u0151v\u00e9 teszi az alkalmaz\u00e1sok sz\u00e1m\u00e1ra, hogy hozz\u00e1f\u00e9rjenek a v\u00e9dett er\u0151forr\u00e1sokhoz, p\u00e9ld\u00e1ul a Web API-hoz.<\/p><\/blockquote>\n

N\u00e9zz\u00fck meg a v\u00e9dett er\u0151forr\u00e1shoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s diagramj\u00e1t, \u00e9s vizsg\u00e1ljuk meg az alapvet\u0151 l\u00e9p\u00e9seket \u00e9s a haszn\u00e1lt terminol\u00f3gi\u00e1t:<\/p>\n

<\/p>\n

\"IdentityServer4.<\/p>\n

<\/p>\n

    \n
  1. \n

    A kliens k\u00e9rv\u00e9nyezi a felhaszn\u00e1l\u00f3t\u00f3l, hogy engedje meg sz\u00e1m\u00e1ra az az \u0151 nev\u00e9ben t\u00f6rt\u00e9n\u0151 hiteles\u00edt\u00e9st. \u00dcgyf\u00e9l<\/strong> \u2014 ez a kliensalkalmaz\u00e1s, amely a v\u00e9dett er\u0151forr\u00e1sokhoz fordul a forr\u00e1sok tulajdonosa nev\u00e9ben. Az er\u0151forr\u00e1s<\/strong> \u2014 ez minden v\u00e9dett szolg\u00e1ltat\u00e1sunk Web API<\/a><\/noindex>.<\/p>\n

    \n<\/li>\n

  2. \n

    A felhaszn\u00e1l\u00f3 enged\u00e9lyezi a kliensalkalmaz\u00e1s sz\u00e1m\u00e1ra, hogy az \u0151 nev\u00e9ben v\u00e9gezze el a hiteles\u00edt\u00e9st, p\u00e9ld\u00e1ul be\u00edrja a felhaszn\u00e1l\u00f3nevet \u00e9s a jelsz\u00f3t. A felhaszn\u00e1l\u00f3n\u00e9v \u00e9s jelsz\u00f3 adja meg a kliensalkalmaz\u00e1s enged\u00e9lyez\u00e9si jogosults\u00e1g\u00e1t. User (forr\u00e1s tulajdonosa)<\/strong> \u2014 program vagy szem\u00e9ly, aki hozz\u00e1f\u00e9r\u00e9st biztos\u00edthat a v\u00e9dett er\u0151forr\u00e1sokhoz, p\u00e9ld\u00e1ul a felhaszn\u00e1l\u00f3n\u00e9v (username) \u00e9s a jelsz\u00f3 (password) megad\u00e1s\u00e1val;<\/p>\n

    \n<\/li>\n

  3. \n

    A kliensalkalmaz\u00e1s hozz\u00e1f\u00e9r\u00e9si tokent k\u00e9r a IdentityServer4<\/code> a saj\u00e1t inform\u00e1ci\u00f3inak megad\u00e1s\u00e1val (client_id<\/code>, client_secret<\/code>), a felhaszn\u00e1l\u00f3 hiteles\u00edt\u00e9si enged\u00e9ly\u00e9nek megad\u00e1s\u00e1val (username<\/code>, password<\/code>) \u00e9s a grant_type<\/code> \u00e9s scope<\/code>megad\u00e1s\u00e1val. Ezut\u00e1n az enged\u00e9lyez\u00e9si szerver ellen\u0151rzi a kliens \u00e9s a forr\u00e1stulajdonos (felhaszn\u00e1l\u00f3n\u00e9v \u00e9s jelsz\u00f3) hiteless\u00e9g\u00e9t. <\/p>\n

    <\/p>\n

    Az OAuth 2.0 protokoll nemcsak a felhaszn\u00e1l\u00f3, hanem a v\u00e9dett er\u0151forr\u00e1sokhoz hozz\u00e1f\u00e9r\u00e9st kivitelez\u0151 kliensalkalmaz\u00e1s hiteles\u00edt\u00e9s\u00e9t is v\u00e9gzi. Ehhez a protokoll olyan param\u00e9tereket \u00edr el\u0151, mint a client_id<\/strong> \u00e9s client_secret<\/strong>.
    \nclient_id<\/strong> \u2014 ez a kliensalkalmaz\u00e1s azonos\u00edt\u00f3ja, amelyet IdentityServer4<\/code> az \u00fcgyf\u00e9l inform\u00e1ci\u00f3inak keres\u00e9s\u00e9re haszn\u00e1lnak.
    \nclient_secret<\/strong> ez a kliensalkalmaz\u00e1s jelszav\u00e1nak megfelel\u0151je, \u00e9s a kliensalkalmaz\u00e1s hiteles\u00edt\u00e9s\u00e9re haszn\u00e1lj\u00e1k. IdentityServer4<\/code>. A kliens titk\u00e1t csak az alkalmaz\u00e1snak \u00e9s az API-nak kell ismernie.<\/strong>. Az eddigiek alapj\u00e1n levonjuk a k\u00f6vetkeztet\u00e9st, hogy Az IdentityServer4-nek tudnia kell az \u00fcgyfeleir\u0151l.<\/strong>.<\/p><\/blockquote>\n

    \n<\/li>\n

  4. \n

    Ha az alkalmaz\u00e1s hiteles\u00edt\u00e9se meger\u0151s\u00edtett \u00e9s az enged\u00e9lyez\u00e9s \u00e9rv\u00e9nyes, IdentityServer4<\/code> l\u00e9trehoz access token-t<\/code> (hozz\u00e1f\u00e9r\u00e9si token) az alkalmaz\u00e1s sz\u00e1m\u00e1ra, \u00e9s egy opcion\u00e1lis friss\u00edt\u0151kulcsot (refresh token<\/code>). Az enged\u00e9lyez\u00e9si folyamat befejez\u0151d\u00f6tt. Ha a k\u00e9r\u00e9s \u00e9rv\u00e9nytelen vagy jogosulatlan, az enged\u00e9lyez\u00e9si szerver hibak\u00f3ddal \u00e9s a megfelel\u0151 hiba\u00fczenettel t\u00e9r vissza.<\/p>\n

    \n<\/li>\n

  5. \n

    A kliens alkalmaz\u00e1s adatokat k\u00e9r a v\u00e9dett Web API-t\u00f3l, mik\u00f6zben a hozz\u00e1f\u00e9r\u00e9si token-t biztos\u00edtja az enged\u00e9lyez\u00e9shez. Ha a szerver v\u00e1laszk\u00f3dja 401<\/a><\/noindex>, 403<\/a><\/noindex> vagy 498<\/a><\/noindex>, akkor a hiteles\u00edt\u00e9shez haszn\u00e1lt hozz\u00e1f\u00e9r\u00e9si token \u00e9rv\u00e9nytelen vagy lej\u00e1rt.<\/p>\n

    \n<\/li>\n

  6. \n

    Ha a token \u00e9rv\u00e9nyes, Web API<\/code> az adatok \u00e1tad\u00e1sra ker\u00fclnek az alkalmaz\u00e1snak.<\/p>\n

    \n<\/li>\n<\/ol>\n

    <\/p>\n

    Token t\u00edpusok<\/em><\/h4>\n

    <\/p>\n

    A regisztr\u00e1lt IdentityServer4<\/code> \u00fcgyfelek jogosultak a IdentityServer4<\/code> identity<\/code>-token, hozz\u00e1f\u00e9r\u00e9s<\/code>-token \u00e9s friss\u00edt\u00e9s<\/code>-token k\u00e9r\u00e9s\u00e9re.<\/p>\n

    <\/p>\n