Zum Hauptinhalt springen

Single Sign-On mit OpenID Connect (OIDC) einrichten

Mit minimalem Konfigurationsaufwand ermöglicht dieser Connector die Integration mit jedem OIDC-basierten Identitätsanbieter (IdP).

tipp:

Für weitere Informationen über SSO und wie man SSO in Logto konfiguriert, schaue bitte in der Enterprise SSO (SAML & OIDC) Dokumentation nach, um loszulegen.

Schritt 1: Erstelle eine OIDC-Anwendung auf deinem IdP​

Starte die OIDC SSO-Integration, indem du eine Anwendung auf der IdP-Seite erstellst. Du musst die folgenden Konfigurationen vom Logto-Server bereitstellen.

  • Callback-URI: Die Logto Callback-URI, auch bekannt als Redirect-URI oder Reply-URL, ist ein spezifischer Endpunkt oder eine URL, die der IdP verwendet, um den Browser des Benutzers nach erfolgreicher Authentifizierung umzuleiten. Nachdem ein Benutzer sich erfolgreich beim IdP authentifiziert hat, leitet der IdP den Browser des Benutzers zurück zu dieser festgelegten URI zusammen mit einem Autorisierungscode. Logto wird den Authentifizierungsprozess basierend auf dem Autorisierungscode abschließen, der von dieser URI empfangen wird.

Fülle die Logto Callback-URI in das OIDC-Anwendungseinstellungsformular deines IdP aus und fahre mit der Erstellung der Anwendung fort. (Die meisten OIDC IdPs bieten eine breite Palette von Anwendungstypen zur Auswahl an. Um einen webbasierten SSO-Connector auf Logto zu erstellen, wähle bitte den Anwendungstyp Web Application.)

Schritt 2: OIDC SSO auf Logto konfigurieren​

Nachdem du erfolgreich eine OIDC-Anwendung auf der IdP-Seite erstellt hast, musst du die IdP-Konfigurationen an Logto zurückgeben. Navigiere zum Tab Connection und fülle die folgenden Konfigurationen aus:

  • Client ID: Ein eindeutiger Bezeichner, der deiner OIDC-Anwendung vom IdP zugewiesen wird. Dieser Bezeichner wird von Logto verwendet, um die Anwendung während des OIDC-Flows zu identifizieren und zu authentifizieren.
  • Client Secret: Ein vertrauliches Geheimnis, das zwischen Logto und dem IdP geteilt wird. Dieses Geheimnis wird verwendet, um die OIDC-Anwendung zu authentifizieren und die Kommunikation zwischen Logto und dem IdP abzusichern.
  • Aussteller (Issuer): Die Aussteller-URL, ein eindeutiger Bezeichner für den IdP, der den Ort angibt, an dem der OIDC-Identitätsanbieter gefunden werden kann. Sie ist ein wesentlicher Bestandteil der OIDC-Konfiguration, da sie Logto hilft, die erforderlichen Endpunkte zu entdecken. Um den Konfigurationsprozess zu erleichtern, wird Logto automatisch die erforderlichen OIDC-Endpunkte und Konfigurationen abrufen. Dies geschieht, indem der von dir bereitgestellte Aussteller genutzt wird und ein Aufruf zu den OIDC-Entdeckungspunkten des IdP gemacht wird. Es ist zwingend erforderlich, sicherzustellen, dass der Aussteller-Endpunkt gültig und korrekt konfiguriert ist, damit Logto die erforderlichen Informationen korrekt abrufen kann. Nach einem erfolgreichen Abruf solltest du die analysierten IdP-Konfigurationen im Abschnitt der Aussteller sehen können.
  • Berechtigung (Scope): Eine durch Leerzeichen getrennte Liste von Zeichenfolgen, die die gewünschten Berechtigungen oder Zugriffsebenen definieren, die von Logto während des OIDC-Authentifizierungsprozesses angefordert werden. Der Scope-Parameter ermöglicht es dir, anzugeben, welche Informationen und Zugriffe Logto vom IdP anfordert. Der Scope-Parameter ist optional. Unabhängig von den benutzerdefinierten Scope-Einstellungen wird Logto immer die Berechtigungen openid, profile und email an den IdP senden. Dies soll sicherstellen, dass Logto die Identitätsinformationen und die E-Mail-Adresse des Benutzers ordnungsgemäß vom IdP abrufen kann. Du kannst zusätzliche Berechtigungen zum Scope-Parameter hinzufügen, um mehr Informationen vom IdP anzufordern.

Schritt 3: E-Mail-Domänen festlegen und den SSO-Connector aktivieren​

Gib die E-Mail-Domains deiner Organisation auf der SSO-Erfahrung-Registerkarte des Logto-Connectors an. Dadurch wird der SSO-Connector als Authentifizierungsmethode für diese Benutzer aktiviert.

Benutzer mit E-Mail-Adressen in den angegebenen Domains werden weitergeleitet, um deinen SSO-Connector als einzige Authentifizierungsmethode zu verwenden.