Etape 1

Dans un premier temps il vous faut créer un client OIDC sur votre fournisseur d'accès. Le serveur va alors, certainement, vous demander de choisir un nom pour votre application. Il faut faire attention car certain fournisseur d'accès vont utiliser ce nom pour le champ Audience de vos jetons d'accès. Ce n'est pas obligatoire, mais vous pouvez utiliser ce meme nom pour le client OIDC.

Name

L'application créé sur le fournisseur d'accès ura également besoin d'un URL de retour pour indiquer l'URL qui accueillera l'utilisateur à son retour d'authentification par le fournisseur d'accès. La valeur proposée par défaut est déduite par le client fonction du contexte, nous vous recomendons d'utiliser cette valeur.

Redirect URI

{{redirect_uri}} Copy value

Un client OpenID Connect a besoin de connaître les points d'entrées du serveur afin d'y rediriger l'utilisateur pour authentification, puis d'y récupérer les jetons, les informations sur l'utilisateur, etc. Il s'agit d'URL publiées par l'IdP OIDC, souvent spécifiques au client.

Par exemple l'URL accueillant les utilisateurs pour authentification ressemble souvent à https://login.idp.com/<un identifiant du client>/oauth2/v2.0/authorize

Afin de faciliter la configuration des clients, les IdP publient souvent une URL avec l'ensemble des endpoint. La configuration se résume alors à la saisie d'une unique URL au lieu de la liste des URL des différents endpoint

Le client de fédération accepte les deux manières de déclaration :

en choisissant Discovery URI, vous n'avez qu'à donner cette URL unique, qui ressemble souvent à https://www.idp.com/.well-known/openid-configuration
avec Local Configuration, il vous faudra donner individuellement les URL de chaque endpoint, telles qu'elles sont indiquées par l'IdP.

Votre IdP possède t'il un "Discovery URI"?

Endpoint configuration
Issuer
Authorization endpoint
Token endpoint
Userinfo endpoint
Logout endpoint

Signature key configuration
JWKS URI
Signature Key
Discovery URI

Etape 2

Une fois le client de base créer, le fournissseur d'accès va vous générez un Client ID et un Client secret.

L'IdP attribue un identifiant unique à chaque application qu'il doit authentifier. Cet identifiant est appelé Client ID. C'est ce qui lui permet de savoir quelle politique de sécurité appliquer.

Issuer
Authorization endpoint
Token endpoint
Logout endpoint
Userinfo endpoint
Signature key configuration
JWKS URI
Signature Key
Client ID
Client secret

Etape 3

Cette troisième étape est indépendante du fournisseur d'accès, il s'agit de définir des paramètres par défaut qui seront automatiquement pré-rempli lorsque vous créérez une requête avec l'onglet "Login" en page d'acceuil.

Choisissez un scope corespondant à la surface d'utilisation du jeton demandé. L'utilisation du scope "openid" est obligatoire si vous souhaitez utiliser openid. Si vous souhaitez récupérer les infos de l'utilisateur via le client, nous vous conseillons de mettre les valeurs "email" et "profile" dans le scope.

Scope
Response type
Fetch userinfo

✖