OpenID Connect (OAuth 2.0) -sovelluksen luominen XFA:ssa

XFA:n OpenID Connect (OIDC) -sovellus lisää laitteen vahvistuksen OpenID Connect -kirjautumiseen. OpenID Connect on OAuth 2.0:n päälle rakennettu identiteettikerros: sen termein sovelluksesi on Relying Party ja identiteetintarjoajasi on OpenID Provider. XFA on näiden kahden välissä, vahvistaa laitteen kirjautumisen aikana ja välittää käyttäjän eteenpäin vain silloin, kun käytäntöpäätöksesi sallii pääsyn. Syötä tämän sivun avulla oikeat arvot ja testaa kirjautumiskulku.

Miten se toimii

Kun määritys on tehty ja käyttäjä kirjautuu sovellukseen OpenID Connectin Authorization Code Flow'lla:

Sovellus → OpenID Provider: sovellus ohjaa käyttäjän OpenID Providerisi Authorization Endpoint -päätepisteeseen (esimerkiksi Google Workspace tai Okta) todennusta varten. Koska redirect_uri on asetettu XFA:n päätepisteeseen (katso vaihe 4 alla), OpenID Provider palauttaa käyttäjän XFA:han todennuksen jälkeen.
OpenID Provider → XFA: todennuksen jälkeen OpenID Provider ohjaa käyttäjän XFA:n Redirect URI -osoitteeseen yhdessä valtuutuskoodin kanssa.
XFA vahvistaa laitteen: XFA tarkistaa laitteen tietoturvatilan käytäntöäsi vasten. Jos laite ei täytä käytäntöäsi, pääsy evätään.
Token Request, sovellus → XFA → OpenID Provider: jos laite läpäisee tarkistuksen, XFA ohjaa käyttäjän takaisin sovellukseen valtuutuskoodin kanssa. Sovellus lähettää sitten Token Requestinsa XFA:n Token Endpoint -päätepisteeseen, ja XFA välittää sen läpinäkyvästi OpenID Providerisi Token Endpoint -päätepisteeseen. XFA lukee email-väitteen Token Responsen ID Tokenista yhdistääkseen todennetun käyttäjän hänen laitteeseensa. Sovellukselle palautettavat tunnukset säilyvät muuttumattomina: XFA ei muokkaa niitä.

Mitä määritetään ja missä

Missä	Mitä määritetään
Sovellus (OpenID Connect -asetukset)	Korvaa `redirect_uri` osoitteella XFA Redirect URI
XFA	Integration Name, sovelluksesi alkuperäinen Redirect URI ja OpenID Providerin Token Endpoint

Huomaa: tämä artikkeli olettaa, että organisaatiollasi on XFA-tili ja että olet siinä organisaatiossa järjestelmänvalvoja. Jos sinulla ei ole tiliä, voit luoda sellaisen osoitteessa https://dashboard.xfa.tech/signup.

2. Luo uusi sovellus kohdassa Enforcement > Uusi > OpenID Connect (OAuth 2.0) -integraatio

Uuden sovelluksen luominen

3. Täytä OpenID Connect -asetukset

Asetukset XFA:ssa

Integration Name: kuvaava nimi tälle integraatiolle
Redirect URI: sovelluksesi alkuperäinen Redirect URI (redirect_uri), johon XFA ohjaa käyttäjän laitteen vahvistuksen jälkeen
Token Endpoint: OpenID Providerisi Token Endpoint, jota XFA käyttää vaihtaakseen valtuutuskoodin ID Tokeniin ja käyttöoikeustunnukseen (esimerkiksi https://accounts.google.com/o/oauth2/token Google Workspacelle tai https://<your-domain>/oauth2/v1/token Oktalle)

Tallenna integraatiosi napsauttamalla Tallenna.

OpenID Connect -asetusten täyttäminen

4. Päivitä sovelluksesi OpenID Connect -asetukset

Kopioi tallentamisen jälkeen integraation tiedoissa näkyvä XFA Redirect URI. Korvaa sovelluksesi OpenID Connect -määrityksessä nykyinen redirect_uri tällä XFA Redirect URI -osoitteella. Näin OpenID Provider palauttaa käyttäjän todennuksen jälkeen XFA:han laitteen vahvistusta varten eikä suoraan sovellukseen.

5. Testaa yhteys

Testaa kirjautumiskulku kirjautumalla sovelluksen kautta. Selaimen pitäisi ohjautua ensin OpenID Providerillesi todennusta varten, sitten XFA:han laitteen vahvistusta varten ja vasta sen jälkeen takaisin sovellukseen.

Laitetarkistuksen suorittaminen ennen authorize-vaihetta (lyhytikäisille valtuutuskoodeille)

Oletuksena XFA suorittaa laitetarkistuksen sen jälkeen, kun OpenID Provider on palauttanut valtuutuskoodin, juuri ennen Token Requestia Token Endpoint -päätepisteeseen (katso Miten se toimii yllä). Jotkin OpenID Providerit myöntävät valtuutuskoodeja, jotka vanhenevat hyvin nopeasti. Jos laitetarkistus kestää pidempään kuin koodi on voimassa, esimerkiksi silloin kun käyttäjän pitää vielä asentaa XFA:n agentti, Token Request voi epäonnistua virheeseen invalid_grant, ja käyttäjä näkee todennusvirheen. Microsoftin OpenID Connect -käsittelijässä sama tilanne voi näkyä virheenä IDX21106, "Failed to parse token response body as JSON".

Näiden tarjoajien kohdalla XFA voi sen sijaan suorittaa laitetarkistuksen ennen kuin se lähettää Authentication Requestin OpenID Providerille. Tarjoajan valtuutuskoodi myönnetään silloin vasta, kun tarkistus on läpäisty, joten se lunastetaan sekunneissa ja pysyy hyvin voimassaoloaikansa sisällä.

Tämä vaihtoehto on erikseen käyttöön otettava, ja se koskee vain tällä sivulla kuvattua OpenID Connect -välitysintegraatiota. Jos jätät uuden kentän tyhjäksi, XFA säilyttää oletustoiminnan (laitetarkistus koodin palauttamisen jälkeen).

Laitetarkistuksen ottaminen käyttöön ennen authorize-vaihetta

Aseta OpenID Connect -integraatiossasi XFA:n hallintapaneelissa kenttä OpenID Providerin valtuutuspääte OpenID Providerisi Authorization Endpoint -päätepisteeseen. Se on sama valtuutusosoite, johon sovelluksesi osoittaa tänään, esimerkiksi https://<your-domain>/oauth2/v1/authorize.
Muuta sovelluksesi OpenID Connect -määrityksessä Authorization Endpoint (AuthUrl) osoittamaan XFA:n authorize-päätepisteeseen sen sijaan, että se osoittaisi suoraan OpenID Providerille:
```
https://device-api.xfa.tech/<applicationId>/oauth2/authorize
```
Korvaa <applicationId> XFA-sovelluksesi tunnuksella.
Aseta sovelluksesi OpenID Connect -määrityksessä redirect_uri takaisin sovelluksesi omaan Redirect URI -osoitteeseen. Sen on vastattava täsmälleen XFA:han antamaasi Redirect URI -osoitetta.
Pidä OpenID Providerillasi XFA Redirect URI asiakkaasi sallituissa uudelleenohjausosoitteissa. XFA lähettää sen OpenID Providerille sovelluksesi oman Redirect URI -osoitteen sijasta.

Asiakastunnuksesi ja asiakassalaisuutesi sekä XFA:n Token Endpoint pysyvät ennallaan.

Jos sovelluksesi lähettää tässä kulussa jo XFA Redirect URI -osoitteen redirect_uri-arvona, se toimii edelleen. Suosittelemme vaihtamaan sovelluksesi omaan Redirect URI -osoitteeseen.

Mikä muuttuu

XFA: aseta OpenID Providerin valtuutuspääte tarjoajan Authorization Endpoint -päätepisteeseen
Sovellus: osoita AuthUrl osoitteeseen https://device-api.xfa.tech/<applicationId>/oauth2/authorize ja lähetä sovelluksesi oma Redirect URI redirect_uri-arvona
OpenID Provider: salli XFA Redirect URI uudelleenohjausosoitteena
Ennallaan: asiakastunnus, asiakassalaisuus ja Token Endpoint

Palauttaminen ennalleen

Palaa oletustoimintaan osoittamalla sovelluksesi AuthUrl takaisin OpenID Providerin Authorization Endpoint -päätepisteeseen. Aseta myös sovelluksesi redirect_uri takaisin XFA Redirect URI -osoitteeseen, kuten oletuskulussa. Kun jätät XFA:n OpenID Providerin valtuutuspääte -kentän tyhjäksi, käytössä on jälleen kulku, jossa laitetarkistus tehdään authorize-vaiheen jälkeen.

1. Kirjaudu XFA:n hallintapaneeliin