Was bedeutet OpenID Connect?
Eine Anwendung kann die Anmeldung einem vorhandenen Identitätsanbieter überlassen. Sie erhält ein ID-Token, das für diese Anwendung bestimmte Identitätsaussagen enthält. Dieses Token muss korrekt geprüft werden.
Für den Zugriff auf Fachschnittstellen dient dagegen ein dafür vorgesehenes Zugriffstoken. Beide Tokenarten erfüllen unterschiedliche Zwecke und dürfen nicht beliebig gegeneinander ausgetauscht werden.
So sieht das in der Praxis aus
Beispiel: Eine interne Fachanwendung meldet Mitarbeitende über den vorhandenen Identitätsanbieter an.
Häufige Fragen
Wie unterscheidet sich OpenID Connect von OAuth 2.0?
OAuth regelt den begrenzten Zugriff auf Ressourcen. OpenID Connect ergänzt darauf aufbauend einen standardisierten Identitätsnachweis für die anmeldende Anwendung.
Darf ein ID-Token als Zugang zu jeder API verwendet werden?
Nein. Ein ID-Token ist für die Anwendung bestimmt, bei der die Anmeldung erfolgt. Eine Fach-API benötigt ein für sie vorgesehenes und korrekt geprüftes Zugriffstoken.
Muss die Anwendung dann keine eigene Rechteverwaltung mehr haben?
Doch, soweit fachliche Berechtigungen erforderlich sind. Eine bestätigte Identität sagt allein noch nicht, welche Vorgänge oder Datensätze diese Person nutzen darf.