JWT SSO-Sicherheitsanbieter im Jitterbit App Builder

Der JWT SSO-Sicherheitsanbieter ist eine Implementierung eines benutzerdefinierten Single Sign-On (SSO)-Protokolls. Das Protokoll ermöglicht es einem vertrauenswürdigen Dienst, einen Benutzer bei App Builder Dies wird erreicht, indem ein JSON Web Token (JWT) generiert und das Token über eine Client-Browser-Umleitung an einen Endpoint übergeben wird.

Protokoll

Das JWT SSO-Protokoll nutzt die folgenden Standards:

• JSON Web Tokens, RFC 7519
• JSON-Webalgorithmen, RFC 7518

Endpoints

Das JWT SSO-Protokoll definiert zwei Service-Endpoints.

• Authentifizierungsdienst - Gehostet von App Builder.
• Single Sign-On-Dienst - Gehostet vom vertrauenswürdigen Drittpartei.

Authentifizierungsdienst

Der Authentifizierungsdienst ist verantwortlich für:

1. Authentifizierung eines JWT.
2. Anmeldung des Benutzers bei App Builder.

Beispiel:

https://example.com/App Builder/signin-{Provider}

Wobei {Provider} ist das App Builder Name des Sicherheitsanbieters. Siehe Konfiguration.

Parameter

Der Endpoint des Authentifizierungsdienstes definiert die folgenden Parameter:

• jwt- JSON Web Token. Erforderlich.
• return_to- Relative URI. Optional.

JWT

Der jwt Der Parameter enthält das JSON Web Token. JWTs sind URL sicher, daher ist keine zusätzliche Kodierung erforderlich.

JWTs müssen die folgenden Anforderungen erfüllen:

• Das JWT muss mit dem RS256-Algorithmus (RSA, SHA-256) signiert werden.
• Das JWT darf nicht verschlüsselt sein.
• Das JWT muss die folgenden registrierten Ansprüche enthalten.

Die registrierten JWT-Ansprüche werden in Abschnitt 4.1 beschrieben des JSON Web Token-Standards.

Das JWT kann zusätzliche Ansprüche enthalten. Wie bei allen App Builder Sicherheitsanbieter, die Ansprüche können sein:

• Wird verwendet, um Benutzerkonten bereitzustellen und die Mitgliedschaft in Sicherheitsgruppen zu ermöglichen
• Wird den Eigenschaften des Benutzerkontos wie Benutzername, Email Adresse oder Telefonnummer zugeordnet.
• Zugriff über Geschäftsregeln mit mvSQL claim() Laufzeit.

Beispiel einer JWT Payload:

{
  "jti": "918b6e73-400d-479c-baa1-8e12f5fd78f4",
  "iss": "example.com",
  "aud": "https://example.com/App Builder",
  "sub": "Arthurd.Dent",
  "iat": 1652473593,
  "exp": 1652473893,
  "groups": [
    "Users",
    "Employees",
    "Sales"
  ]
}

Zurück zu

Der return_to Der Parameter besteht aus einer URI. Die URI ist relativ zum App Builder Stammverzeichnis der Anwendung. Es muss mit einem Schrägstrich vorangestellt werden.

Beispiel:

/app/Sales/Leads?LeadId=1234

App Builder validiert die URI zum Schutz vor Open-Redirect-Angriffen.

Methoden

Post

Standardmäßig akzeptiert der Endpoint ein Formular-Posting:

POST /App Builder/signin-JWTSSO HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 31

jwt={jwt}&return_to={return_to}

Erhalten

Alternativ kann der Endpoint auch so konfiguriert werden, dass er akzeptiert GET Anfragen:

GET /App Builder/signin-JWTSSO?jwt={jwt}&return_to={return_to} HTTP/1.1
Host: example.com

Bei Verwendung der GET Methode wird das JWT-Sicherheitstoken in der URL Abfrage übergeben.

Beachten Sie vor der Verwendung Folgendes GET:

• GET stellt ein zusätzliches Risiko dar, da Abfrage häufig in Protokolldateien von Webservern geschrieben werden. Dies kann gemildert werden, indem sichergestellt wird, dass Sicherheitstoken eine kurze Lebensdauer haben und nicht wiedergegeben werden können.
• URLs unterliegen Längenbeschränkungen, die normalerweise bei etwa 2.000 Zeichen liegen. Dies kann durch die Begrenzung der Anzahl der Ansprüche gemildert werden.
• Der return_to Parameter können doppelt URL codierte Werte enthalten. Solche Anfragen können durch Firewalls blockiert werden.

Single-Sign-On-Dienst

Der Single Sign-On Service ist der Endpoint, der App Builder leitet Benutzer weiter, wenn eine Herausforderung ausgegeben wird. Der Single Sign-On-Dienst ist verantwortlich für:

1. Authentifizierung des Benutzers.
2. Generieren eines JWT.
3. Weiterleitung des Benutzers zum Authentifizierungsdienst.

Der Single Sign-On Service-Endpoint ist optional.

Konfiguration

Einstellungen

• Name: Name des Sicherheitsanbieters. Der Name erscheint in der URL des Authentifizierungsdienstes. Er kann auch im Anmeldeformular erscheinen.
• Typ: JWT SSO

Token

• Zielgruppe: Zielgruppe. URI. Wird zur Validierung des JWT verwendet aud Anspruch. Beispiel: https://example.com/App Builder.
• Aussteller: Name des Ausstellers. Zeichenfolge, URI empfohlen. Wird zur Validierung des JWT verwendet iss Anspruch. Groß-/Kleinschreibung beachten.

Endpoints

Zertifikate

Eigenschaften

Der OAuth-Sicherheitsanbieter unterstützt die folgenden zusätzlichen Parameter: