JWT SSO-Sicherheitsanbieter im Jitterbit App Builder

Der JWT SSO-Sicherheitsanbieter ist eine Implementierung eines benutzerdefinierten Single Sign-On (SSO)-Protokolls. Das Protokoll ermöglicht einem vertrauenswürdigen Dienst die Anmeldung eines Benutzers bei App Builder. Dies wird durch die Generierung eines JSON Web Token (JWT) und dessen Weiterleitung an einen Endpoint über eine Client-Browser-Umleitung erreicht.

Protokoll

Das JWT-SSO-Protokoll nutzt die folgenden Standards:

• JSON Web Tokens, RFC 7519
• JSON-Webalgorithmen, RFC 7518

Endpoints

Das JWT SSO-Protokoll definiert zwei Service-Endpoints.

• Authentifizierungsdienst - Gehostet von App Builder.
• Single Sign-On-Dienst - Gehostet vom vertrauenswürdigen Drittpartei.

Authentifizierungsdienst

Der Authentifizierungsdienst ist verantwortlich für:

1. Authentifizierung eines JWT.
2. Den Benutzer beim App Builder anmelden.

Beispiel:

https://example.com/App Builder/signin-{Provider}

Wobei {Provider} ist der Name des App Builder Sicherheitsanbieters. Siehe Konfiguration.

Parameter

Der Endpoint des Authentifizierungsdienstes definiert die folgenden Parameter:

• jwt- JSON-Web-Token. Erforderlich.
• return_to- Relative URI. Optional.

JWT

Der jwt Der Parameter enthält das JSON Web Token. JWTs sind URL sicher, daher ist keine zusätzliche Kodierung erforderlich.

JWTs müssen die folgenden Anforderungen erfüllen:

• Das JWT muss mit dem RS256-Algorithmus (RSA, SHA-256) signiert werden.
• Das JWT darf nicht verschlüsselt sein.
• Das JWT muss die folgenden registrierten Ansprüche enthalten.

Die registrierten JWT-Ansprüche sind in Abschnitt 4.1 beschrieben des JSON Web Token-Standards.

Das JWT kann zusätzliche Ansprüche enthalten. Wie bei allen App Builder Sicherheitsanbietern können die Ansprüche sein:

• Wird verwendet, um Benutzerkonten bereitzustellen und die Mitgliedschaft in Sicherheitsgruppen zu ermöglichen
• Zugeordnet zu Benutzerkontoeigenschaften wie Benutzername, Email-Adresse oder Telefonnummer.
• Zugriff über Geschäftsregeln mit mvSQL claim() Laufzeit.

Beispiel einer JWT Payload:

{
  "jti": "918b6e73-400d-479c-baa1-8e12f5fd78f4",
  "iss": "example.com",
  "aud": "https://example.com/App Builder",
  "sub": "Arthurd.Dent",
  "iat": 1652473593,
  "exp": 1652473893,
  "groups": [
    "Users",
    "Employees",
    "Sales"
  ]
}

Zurück zu

Der return_to Der Parameter besteht aus einer URI. Die URI ist relativ zum Stammverzeichnis der App Builder Anwendung. Ihr muss ein Schrägstrich vorangestellt sein.

Beispiel:

/app/Sales/Leads?LeadId=1234

App Builder validiert die URI, um vor Open-Redirect-Angriffen zu schützen.

Methoden

Post

Standardmäßig akzeptiert der Endpoint einen Formularbeitrag:

POST /App Builder/signin-JWTSSO HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 31

jwt={jwt}&return_to={return_to}

Erhalten

Alternativ kann der Endpoint auch so konfiguriert werden, dass er akzeptiert GET Anfragen:

GET /App Builder/signin-JWTSSO?jwt={jwt}&return_to={return_to} HTTP/1.1
Host: example.com

Bei Verwendung der GET -Methode wird das JWT-Sicherheitstoken in der URL Abfrage übergeben.

Beachten Sie vor der Verwendung Folgendes GET:

• GET birgt zusätzliche Risiken, da Abfrage häufig in Webserver-Protokolldateien geschrieben werden. Dies kann durch die Gewährleistung einer kurzen Lebensdauer und der Nichtwiederholbarkeit von Sicherheitstoken verringert werden. URLs unterliegen Längenbeschränkungen, typischerweise im Bereich von 2.000 Zeichen. Dies kann durch die Begrenzung der Anzahl der Ansprüche gemildert werden.
• Der return_to Parameter können doppelt URL-kodierte Werte enthalten. Solche Anfragen können durch Firewalls blockiert werden.

Single-Sign-On-Dienst

Der Single Sign-On-Dienst ist der Endpoint, zu dem App Builder Benutzer umleitet, wenn eine Abfrage erfolgt. Der Single Sign-On-Dienst ist verantwortlich für:

1. Authentifizierung des Benutzers.
2. Generieren eines JWT.
3. Weiterleitung des Benutzers zum Authentifizierungsdienst.

Der Single Sign-On-Service-Endpoint ist optional.

Konfiguration

Einstellungen

• Name: Name des Sicherheitsanbieters. Der Name erscheint in der URL des Authentifizierungsdienstes. Er kann auch im Anmeldeformular erscheinen.
• Typ: JWT SSO

Token

• Zielgruppe: Zielgruppe. URI. Wird zur Validierung des JWT verwendet aud Anspruch. Beispiel: https://example.com/App Builder.
• Aussteller: Name des Ausstellers. String, URI empfohlen. Wird zur Validierung des JWT verwendet. iss Anspruch. Groß- und Kleinschreibung beachten.

Endpoints

Zertifikate

Eigenschaften

Der OAuth-Sicherheitsanbieter unterstützt die folgenden zusätzlichen Parameter: