Exemples de communication du service émetteur

Le service Vérification d’identité Microsoft Entra peut émettre des informations d’identification vérifiables en extrayant les revendications d’un jeton d’ID généré par le fournisseur d’identité conforme à OpenID de votre organisation. Cet article vous indique comment configurer votre fournisseur d’identité pour que l’application Authenticator puisse communiquer avec lui et récupérer le jeton d’ID correct à transmettre au service émetteur.

Pour émettre des justificatifs vérifiables, Authenticator reçoit des instructions lors du téléchargement du contrat, pour collecter l’entrée de l’utilisateur et envoyer ces informations au service émetteur. Si vous devez utiliser un jeton d’ID, vous devez configurer votre fournisseur d’identité pour permettre à Authenticator de se connecter à un utilisateur à l’aide du protocole OpenID Connect. Les revendications du jeton d’ID résultant sont utilisées pour remplir le contenu de vos justificatifs vérifiables. L’application Authenticator authentifie l’utilisateur à l’aide du flux de code d’autorisation OpenID Connect. Votre fournisseur OpenID doit prendre en charge les fonctionnalités OpenID Connect suivantes :

Vous trouverez ci-dessous des exemples de requêtes HTTP envoyées à votre fournisseur d’identité. Votre fournisseur d’identité doit accepter et répondre à ces demandes conformément à la norme d’authentification OpenID Connect.

Inscription du client

Pour recevoir des justificatifs vérifiables, vos utilisateurs doivent se connecter à votre fournisseur d’identité (ou « IDP », pour « Identity Provider ») en utilisant l’application Microsoft Authenticator.

Pour activer cet échange, inscrivez une application auprès de votre fournisseur d’identité. Si vous utilisez Microsoft Entra ID, vous trouverez les instructions ici. Utilisez les valeurs suivantes lors de l’inscription.

Une fois que vous avez inscrit une application auprès de votre fournisseur d’identité, enregistrez son ID client. Vous en aurez besoin dans la prochaine section. Vous devez également écrire l’URL pointant vers le point de terminaison connu pour le fournisseur d’identité compatible OIDC. Le service émetteur utilise ce point de terminaison pour télécharger les clés publiques nécessaires à la validation du jeton d’ID une fois qu’il est envoyé par Authenticator.

L’URI de redirection configurée est utilisé par Authenticator afin qu’il sache quand la connexion est terminée et qu’il peut récupérer le jeton d’ID.

Demande d’autorisation.

La demande d’autorisation envoyée à votre fournisseur d’identité utilise le format suivant.

GET /authorize?client_id=<client-id>&redirect_uri=vcclient%3A%2F%2Fopenid%2F&response_mode=query&response_type=code&scope=openid&state=12345&nonce=12345 HTTP/1.1
Host: www.contoso.com
Connection: Keep-Alive

Lorsqu’il reçoit une demande d’autorisation, votre fournisseur d’identité doit authentifier l’utilisateur et prendre les mesures nécessaires pour mener à bien la connexion, par exemple l’authentification multifacteur.

Vous pouvez personnaliser le processus de connexion selon vos besoins. Vous pouvez demander aux utilisateurs de fournir des informations supplémentaires, d’accepter des conditions de service, de payer leurs informations d’identification, et bien plus encore. Une fois toutes les étapes terminées, répondez à la demande d’autorisation en redirigeant vers l’URI de redirection, comme indiqué ci-dessous.

vcclient://openid/?code=nbafhjbh1ub1yhbj1h4jr1&state=12345

Requête de jeton

La requête de jeton envoyée à votre fournisseur d’identité aura la forme suivante.

POST /token HTTP/1.1
Host: www.contoso.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 291

client_id=<client-id>&redirect_uri=vcclient%3A%2F%2Fopenid%2F&grant_type=authorization_code&code=nbafhjbh1ub1yhbj1h4jr1&scope=openid

Lors de la réception de la requête de jeton, votre fournisseur d’identité doit répondre avec un jeton d’ID.

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache

{
"id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjFlOWdkazcifQ.ewogImlzc
    yI6ICJodHRwOi8vc2VydmVyLmV4YW1wbGUuY29tIiwKICJzdWIiOiAiMjQ4Mjg5
    NzYxMDAxIiwKICJhdWQiOiAiczZCaGRSa3F0MyIsCiAibm9uY2UiOiAibi0wUzZ
    fV3pBMk1qIiwKICJleHAiOiAxMzExMjgxOTcwLAogImlhdCI6IDEzMTEyODA5Nz
    AKfQ.ggW8hZ1EuVLuxNuuIJKX_V8a_OMXzR0EHR9R6jgdqrOOF4daGU96Sr_P6q
    Jp6IcmD3HP99Obi1PRs-cwh3LO-p146waJ8IhehcwL7F09JdijmBqkvPeB2T9CJ
    NqeGpe-gccMg4vfKjkM8FcGvnzZUN4_KSP0aAp1tOJ1zZwgjxqGByKHiOtX7Tpd
    QyHE5lcMiKPXfEIQILVq0pc_E2DzL7emopWoaoZTF_m0_N0YzFC6g6EJbOEoRoS
    K5hoDalrcvRYLSrQAZZKflyuVCyixEoV9GfNQC3_osjzw2PAithfubEEBLuVVk4
    XUVrWOLrLl0nx7RkKU8NXNHq-rvKMzqg"
}

Le jeton d’ID doit utiliser le format de sérialisation compact JWT et ne doit pas être chiffré. Le jeton d’ID doit contenir les revendications suivantes.

Étapes suivantes

• Personnaliser vos informations d’identification vérifiables