OpenID Connect(OIDC)는 Qlik Cloud를 ID 공급자와 통합하여 OAuth 2.0 프로토콜 위에 사용자 인증 계층을 추가합니다. 이를 통해 안전한 단일 사인온(SSO)이 가능해져 사용자는 한 번 로그인하면 반복적인 인증 없이 여러 응용 프로그램과 웹사이트에 액세스할 수 있습니다.
OAuth 2.0 및 OIDC
OAuth 2.0은 권한 부여를 위해 설계되었습니다. 이 기능을 사용하면 사용자 자격 증명을 노출하지 않고도 보안 토큰을 사용하여 한 응용 프로그램이 다른 응용 프로그램의 데이터나 기능에 대한 액세스 권한을 부여할 수 있습니다. 이 토큰은 제한된 액세스를 제공하여 사용자가 공유에 동의한 정보만 공유하도록 보장합니다. 언제든지 토큰을 인출할 수 있습니다.
OAuth 2.0에는 사용자 ID 정보가 포함되지 않습니다. OpenID Connect(OIDC)는 사용자 로그인 세부 정보와 프로필 정보가 포함된 ID 토큰을 도입하여 이를 향상합니다. 이러한 토큰을 사용하면 다양한 클라이언트(웹 기반, 모바일, JavaScript 등)가 권한 부여 서버에서 수행한 권한 부여를 기반으로 사용자 ID를 확인할 수 있습니다. 클라이언트는 사용자에 대한 기본 프로필 정보를 요청할 수도 있습니다.
OAuth 및 OIDC에 대한 소개를 보려면 다음 비디오를 시청하십시오: OAuth 및 OpenID Connect에 대한 삽화 가이드.
ID 토큰
OpenID Connect(OIDC)에서 사용되는 ID 토큰은 사용자 인증을 처리하고 ID 및 프로필 세부 정보와 같은 자세한 사용자 정보를 포함합니다. 이러한 토큰은 일반적으로 다양한 서명 및 암호화 알고리즘을 지원하는 JSON Web Token(JWT)으로 형식이 지정됩니다.
ID 토큰에는 사용자의 ID, 이름, 로그인 시간, 변조 표시 등 사용자에 대한 데이터인 클레임이 포함되어 있습니다. ID 토큰의 클레임은 사용자의 ID를 확인하고 SSO(단일 사인온)를 용이하게 하기 위해 응용 프로그램에 필요한 세부 정보를 제공합니다. OIDC 사양은 이름, 이메일, 성별, 생년월일을 포함한 표준 클레임 집합을 정의합니다. 필요에 따라 추가 사용자 정보를 포함하는 사용자 지정 클레임을 추가할 수 있습니다. 성공적인 사용자 권한 부여 후 권한 부여 서버에서 발급하는 ID 토큰은 OAuth 2.0 흐름을 통해 가져와지며 웹 및 모바일 응용 프로그램 모두에 적용할 수 있습니다.
PII(개인 식별 정보)와 같은 중요한 데이터를 보호하려면 암호화된 ID 토큰을 사용할 수 있습니다. 암호화는 무단 액세스를 방지하고 개인정보 보호 및 보안을 보장합니다.
액세스 토큰
액세스 토큰은 OAuth 2.0에서 권한 부여에 사용됩니다. 이를 통해 응용 프로그램은 사용자를 대신하여 특정 데이터나 기능에 액세스할 수 있습니다. 액세스 토큰은 JSON Web Token(JWT) 또는 비 JWT 토큰으로 형식을 지정할 수 있습니다. 이는 API에 사용자의 동의와 부여된 권한을 알려 주는 자격 증명 역할을 합니다. ID 토큰과 달리 액세스 토큰에는 사용자 ID 정보가 포함되지 않으며, 단지 지정된 리소스에 대한 액세스 권한을 부여합니다.
OpenID Connect 사양
OpenID Connect 1.0 사양은 핵심 기능과 선택적 기능을 정의하는 여러 문서로 구성되어 있습니다. Qlik은 이 사양을 지원하지만 모든 공급업체별 구현을 지원하지는 않을 수 있습니다. 그러나 Qlik은 인기 있는 ID 관리 플랫폼에 대한 편리한 구성을 제공할 수 있습니다.
사양의 주요 문서는 다음과 같습니다.
- OpenID Connect 핵심: OAuth 2.0을 기반으로 하는 인증 및 클레임을 사용하여 사용자 정보를 공유하는 것을 포함한 핵심 OIDC 기능을 정의합니다.
- OpenID Connect 검색(선택 사항): 클라이언트가 OpenID 공급자에 대한 정보를 동적으로 검색하는 방법을 정의합니다.
- OpenID Connect 동적 클라이언트 등록(선택 사항): 클라이언트가 OpenID 공급자에 동적으로 등록하는 방법을 정의합니다.
- OAuth 2.0 다중 응답 유형: 특정한 새로운 OAuth 2.0 응답 유형을 정의합니다.
- OAuth 2.0 양식 게시 응답 모드(선택 사항): HTTP POST를 통해 자동 제출되는 HTML 양식 값을 사용하여 OAuth 2.0 권한 부여 응답 매개 변수를 반환하는 방법을 정의합니다.
- OpenID Connect 세션 관리(선택 사항): postMessage 기반 로그아웃 및 RP 시작 로그아웃 기능을 포함하여 OIDC 세션을 관리하는 방법을 정의합니다.
- OpenID Connect 프런트 채널 로그아웃(선택 사항): RP 페이지에서 OP iframe을 사용하지 않는 로그아웃 메커니즘을 정의합니다.
- OpenID Connect 백채널 로그아웃(선택 사항): OP와 로그아웃되는 RP 간의 직접 백채널 통신을 사용하여 로그아웃 메커니즘을 정의합니다.
- OpenID Connect 페더레이션(선택 사항): OP 및 RP 집합이 페더레이션 연산자를 활용하여 신뢰를 구축하는 방법을 정의합니다.
이 문서에 액세스하려면 OpenID Connect에 오신 것을 환영합니다를 방문하십시오.