基于一个应用程序的访问令牌与多个本机应用程序的 SSO

Question

我有一个应用程序对用户进行身份验证并安全地存储基于 client_id #1 生成的访问令牌。在第二个应用程序中知道我需要基于 client_id#2 的访问令牌，而无需用户登录。

如果访问令牌可用于其他应用程序，有哪些方法可以根据客户端 ID 生成 access_token？

Answer 1

不，您不能自己生成自己的访问令牌（好的，您可以。但是每个适当的 OIDC 实现都会忽略它，因为令牌不会被 IdP 密钥正确签名，因此无法验证)。访问令牌始终由身份提供者（在您的情况下为 Okta）创建和签名。

但是，如果两个客户端位于同一领域（领域是 Keycloak 术语，Okta 可能使用不同的术语 - 域、池等），那么它们共享 IdP 会话。因此，如果用户通过 client_id#1 登录（IdP 会话就位）并且您将通过 client_id#2 启动登录过程，则不会要求用户再次登录，并且访问令牌将由 IdP 在 jiffy* 中发出。这就是 OIDC 协议的单点登录功能。

*这不适用于某些特殊的边缘情况，例如：直接访问授权用于 client_id#1 登录，需要同意，...