OpenID Connect ist die Erweiterung von OAuth, die aus einer Erlaubnis eine Anmeldung macht. Abgekürzt wird es OIDC.
- OpenID Connect
Die Erweiterung von OAuth, die aus einer Erlaubnis eine Anmeldung macht.
Beispiel: „Hinter dem Knopf „Anmelden mit …“ steckt in aller Regel OpenID Connect.“Auch: OIDC. Die Stelle, die die Identität bestätigt, heißt Identity Provider; der Dienst, der sich darauf verlässt, Relying Party.
Abgrenzung zu OAuth: OAuth beantwortet „Was darf diese Anwendung?“, OpenID Connect zusätzlich „Wer ist das?“.
Was OpenID Connect zu OAuth hinzufügt
Ein zweites Zeichen und ein festes Vokabular. Neben dem Zugriffszeichen stellt der Anmeldedienst ein ID-Token aus, ein JWT mit Angaben zur Person: wer sie ist, wer das bestätigt, für welche Anwendung, wie lange und wann sie sich zuletzt angemeldet hat. Dazu kommt eine Beschreibung, über die eine Anwendung die Adressen und Schlüssel des Anmeldedienstes selbst findet.
Worauf es bei der Prüfung ankommt
Auf vier Felder, und jedes einzelne ist schon Ursache von Vorfällen gewesen: wer das Token ausgestellt hat, für welche Anwendung es gilt, wie lange es gilt und ob die Signatur zu einem bekannten Schlüssel des Anmeldedienstes passt. Eine Bibliothek nimmt diese Arbeit ab; selbst gebaute Prüfungen sind der klassische Weg zu einem Token, das für einen anderen Dienst ausgestellt war.
Was OpenID Connect im Unternehmen bringt
Eine Anmeldung für viele Anwendungen, siehe Single Sign-on. Der praktische Gewinn liegt weniger in der Bequemlichkeit als im Austritt: Wird ein Konto beim Anmeldedienst gesperrt, ist der Zugang zu allen angeschlossenen Anwendungen weg. Ohne eine solche Stelle bleibt am Tag nach einer Kündigung immer irgendwo ein Zugang offen.