如何设置 OpenID Connect 以使用同一身份提供者的别名？

Question

对不起，如果这个问题非常基本，甚至可能完全错误。我对 OpenID Connect 完全陌生，并且在没有前任文档的情况下继承了该项目。

目前，我们所有的网络应用都有一个身份提供者。说吧

https://identity.company.com

但是，我们的一个客户想要一个他们自己的登录页面，所以我们只是将他们的登录页面作为我们身份网站的另一个绑定。

https://customer.company.com

它与 identity.company.com 是同一个网站。

我能够登录到身份服务器页面，客户可以在其中选择他们想要的范围/网络应用程序。

选择范围后，身份服务器会将客户重定向到正确的网站/网络应用程序。

但网络应用程序将无法通过身份验证并将客户重定向到正常登录页面 (identity.company.com)。

这是因为新 URL customer.company.com 不是可接受的发行人/推荐人吗？

我查看了各处的代码以及身份数据库，但找不到可以将 customer.company.com 添加为受信任身份提供者的地方。

谁能给我一些关于在哪里寻找或知道如何使它工作的提示？

Answer 1

要求

我可能会误解，但这通常是需要的：

• 合作伙伴用户使用熟悉的公司凭据登录
• 合作伙伴管理员可以控制访问权限，例如离开/加入公司的人
• 实际应用本身没有变化

我假设您通过单个互联网 URL 托管应用的单个实例。

先决条件

业务合作伙伴必须提供符合标准的身份提供商，您的系统可以与之集成。不要接受会给您的应用增加大量复杂性的其他选项。

您的应用程序

您的 UI 和 API 仅在此 Url 处重定向到您的授权服务器并从中接收令牌。

• https::/identity.company.com

在登录期间，AS 可以为不同的业务合作伙伴连接到许多不同的身份提供者。

合作伙伴整合

通常这只需要一些配置更改：

• 要在合作伙伴身份提供程序中配置的 OAuth 客户端
• 要添加到您的授权服务器的身份提供程序条目
• 合作伙伴用户在首次使用其应用时为其添加查询参数，例如 https://web app.mycompany.com?idp=partner.com

更多详情

有关一些视觉细节，请参阅我的Federated Logins Blog Post。您还可以运行一个交互式代码示例，以了解它的外观。