Adobe Single Sign-On Service sso-service

In diesem Dokument werden Anwendungsfälle, Endpunkte und APIs für den Adobe Single Sign-On Service beschrieben.

Aktuelle Version - 1.0.0

Umfang scope

Der Adobe Pass SSO Service ermöglicht eine nahtlose Authentifizierung über mehrere Geräte und Anwendungen hinweg und bietet ein einheitliches Benutzererlebnis bei gleichzeitiger Einhaltung von Sicherheits- und Compliance-Standards. Dieser Service deckt den wachsenden Bedarf an plattformübergreifender Authentifizierung in der heutigen Streaming-Landschaft mit mehreren Geräten.

Überblick overview

Was es ist what-it-is

Eine umfassende Single-Sign-On-Lösung, mit der sich Benutzer einmal authentifizieren und die Übertragung der Authentifizierung auf informierte Weise an andere Geräte verwalten können

Aktuelle Herausforderungen bei der Authentifizierung current-challenges

Möglichkeit für einen Adobe Pass SSO-Service opportunity

Geschäftliche Vorteile business-benefits

Inhalts-Provider content-providers

Endbenutzer end-users

IDs (MVPDs, Telekommunikationsgeräte usw.) idps

Anwendungsfälle use-cases

Identitätszuordnung identity-mapping

Der Service ermöglicht die Verknüpfung eines D2C- und eines TVE-Kontos in derselben App.

Weitere Streaming-Services erstellen Pakete, die an Dritte verkauft werden sollen (MVPD/Virtual MVPD/Telco usw.). Benutzer müssen am Ende möglicherweise mehrere Konten in derselben App verarbeiten. Um eine nahtlose Authentifizierung zu ermöglichen, muss ein Service diese Konten verbinden, um die Anmeldung zu vereinfachen.

Benutzer authentifizieren sich mit ihrem D2C-Konto und authentifizieren sich dann EINMAL mit einem anderen Konto (z. B. MVPD). Mit unserem Service werden diese Konten verknüpft, was bedeutet, dass in Zukunft nachfolgende Authentifizierungen auf verschiedenen Geräten nur mit dem D2C-Konto durchgeführt werden können.

Geräteübergreifendes SSO cross-device-sso

Die Authentifizierung auf einem mit dem Fernsehgerät verbundenen Gerät kann umständlicher sein als auf einem Mobiltelefon. Ein gutes Benutzererlebnis bestünde darin, sich am Telefon zu authentifizieren und diese Authentifizierung dann an das Smart-TV weiterzugeben.

Schlüsselkomponenten key-components

Anwendungsbeispiele - detailliert use-cases-detailed

D2C-TVE SSO d2c-tve-sso

Dieser Anwendungsfall ermöglicht die Verknüpfung zwischen D2C- und TVE(MVPD)-Anmeldeinformationen auf einem Gerät und die Nutzung dieses verknüpften Profils auf anderen Geräten innerhalb derselben Anwendung.

Geräteübergreifendes SSO cross-device-sso-detailed

Dieser Anwendungsfall ermöglicht es Benutzenden, die sich bereits auf einem Gerät authentifiziert haben, das authentifizierte Profil auf derselben auf anderen Geräten installierten D2C- oder TVE-Anwendung wiederzuverwenden (Anwendung, die zur Implementierung von Adobe Pass REST V2 für die Authentifizierung und Autorisierung erforderlich ist).

Integrieren des Adobe SSO Service in eine D2C-TVE-Anwendung integration

Schritt 1: Abrufen einer gemeinsamen Kennung step-1

Um den Adobe SSO-Service zu integrieren, sollte eine Anwendungsimplementierung eine eindeutige und persistente ID festlegen, die als gemeinsames SSO-Identifizierungsattribut in der X-SSO-ID verwendet werden kann. Dies kann durch die Authentifizierung eines Benutzers mit einem D2C-Service erreicht werden und ein Attribut zu dieser Authentifizierung beibehalten werden.

Schritt 2: Abrufen eines Service-Tokens step-2

Durch Verwendung der allgemeinen Kennung in der X-SSO-ID im Endpunkt POST /serviceToken wird ein signiertes JWT mit der folgenden Payload abgerufen:

{
  "iss": "ssoservicetoken",
  "sub": "unique_common_identifier",
  "nbf": 1758093558,
  "exp": 1758097158,
  "iat": 1758093558
}

Das Service-Token hat eine Ablaufzeit von „iat“ (ausgestellt am) und von „exp“ (ablaufend), in der das Intervall des Service-Tokens gültig ist. Im Falle eines Ablaufs kann ein neues JWT mithilfe des Endpunkts GET /serviceToken mit dem abgelaufenen Service-Token abgerufen werden.

Schritt 3: Authentifizierung mit der Adobe Pass REST API V2 mit einer TVE MVPD step-3

Die Authentifizierung mit Adobe Pass sollte mithilfe des Service-Tokens implementiert werden: REST API V2 - Single Sign-On Service Token Flows

Schritt 4: Verknüpfen eines anderen Geräts step-4

Von der authentifizierten Anwendung kann ein Link erstellt werden, der auf einem anderen Gerät mithilfe der /link-API verwendet werden kann

{
    "status": "CREATED",
    "code": "228128",
    "notBefore": 1758094617220,
    "notAfter": 1758098217220
}

Der „Code“ ist ein kurzlebiger Link-Code in einer Form einer Sequenz von 6 Ziffern, die der Benutzer in eine nicht authentifizierte Anwendung auf einem sekundären Gerät einführt

Schritt 5: Abrufen der Single-Sign-On-Authentifizierung step-5

Auf einem anderen Gerät kann die Anwendung, sobald der Benutzer den Code eingeführt hat:

Das MVPD-Profil ist über SSO für den Zeitraum gültig, für den die erste Authentifizierung abgerufen wurde.

Falls MVPD das Profil ungültig macht oder der Benutzer sich von MVPD abmeldet, verfügt das Programm, das Adobe Pass REST API V2 verwendet, nicht mehr über einen Profildatensatz und sollte den Benutzer auffordern, sich erneut bei MVPD zu authentifizieren.

Schritt 6: Single Sign-On auf anderen Geräten verwalten step-6

Eine Anwendung kann mithilfe der /list-API Informationen über alle anderen Geräte abrufen, die mit derselben gemeinsamen Kennung verknüpft sind.

Ein Gerät kann jederzeit aus dem Single Sign-On entfernt werden, indem die Verknüpfung dieses Geräts mit der /unlink-API aufgehoben wird.

APIs apis

Service-Token-API service-token-api

Beschreibung service-token-description

Die Service-Token-API kann verwendet werden, um Service-Token anzufordern und zu verwalten, die Single Sign-On (SSO)-Funktionen zwischen mehreren Anwendungen oder Geräten ermöglichen. Diese Service-Token identifizieren authentifizierte Profile (SSO-Profile) und sind für die Einrichtung und Wartung von SSO-Verbindungen unerlässlich.

Die Service-Token-API stellt zwei primäre Endpunkte bereit:

Wenn die Anfrage zur Service-Token-API aufgrund eines Fehlers des Adobe Pass-Authentifizierungs-Services nicht verarbeitet werden konnte, werden zusätzliche Fehlerinformationen als Teil der API-Antwort aufgenommen.

POST - serviceToken post-service-token

Anfrage post-service-token-request

Antwort post-service-token-response

Erfolg success-post-service-token

Fehler error-post-service-token

Beispiele samples-post-service-token

​1. Anfordern eines neuen Service-Tokens (mit SSO-ID)

POST /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    X-SSO-ID: <sso_id>
    AP-Device-Identifier: fingerprint <base64_device_id>
    X-Device-Info: <base64_device_info>
    Accept: application/json

HTTP/1.1 201 Created

Content-Type: application/json

{
  "status": "CREATED",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

​2. Anfordern eines neuen Service-Tokens (mit SSO-Link)

POST /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    X-SSO-LINK: <link_code>
    AP-Device-Identifier: fingerprint <base64_device_id>
    X-Device-Info: <base64_device_info>
    User-Agent: <user_agent>
    Accept: application/json

HTTP/1.1 201 Created

Content-Type: application/json

{
  "status": "CREATED",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

GET - serviceToken get-service-token

Anfrage get-service-token-request

Antwort get-service-token-response

Erfolg success-get-service-token

Fehler error-get-service-token

Beispiele samples-get-service-token

​1. Anfordern der Aktualisierung eines Service-Tokens

GET /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

Link-API link-api

Beschreibung link-description

Die Link-API kann verwendet werden, um einen Link-Code (oder QR-Code) anzufordern, der Single Sign-On (SSO) zwischen mehreren Anwendungen oder Geräten aktivieren kann. Dieser Link-Code ermöglicht es Benutzenden, eine neue Anwendung oder ein neues Gerät mit einem vorhandenen authentifizierten Profil (SSO-Profil) zu verbinden und so ein nahtloses SSO-Erlebnis über Anwendungen oder Geräte hinweg bereitzustellen.

Für die Link-API muss im AD-Service-Token-Header ein gültiges Service-Token angegeben werden.

Der generierte Link-Code wird in der Regel Benutzern auf einer primären Anwendung oder einem Gerät angezeigt und auf einer sekundären Anwendung oder einem sekundären Gerät eingegeben, um die SSO-Verbindung herzustellen. Der Link-Code hat eine begrenzte Gültigkeitsdauer (in der Regel 5-30 Minuten) und ist für die einmalige Verwendung vorgesehen.

Falls die Link-API-Anfrage aufgrund eines Adobe Pass-Authentifizierungs-Service-Fehlers nicht verarbeitet werden konnte, werden zusätzliche Fehlerinformationen als Teil des Link-API-Antwortergebnisses aufgenommen.

POST - Link post-link

Anfrage post-link-request

Antwort post-link-response

Erfolg success-post-link

Fehler error-post-link

Beispiele samples-post-link

​1. Anfordern eines Link-Codes für ein vorhandenes authentifiziertes Profil

POST /api/{serviceProvider}/link HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 201 Created

Content-Type: application/json

{
   "status": "CREATED",
   "code": "123456",
   "notBefore": 1623840000000,
   "notAfter": 1623842700000
}

Verknüpfung der API aufheben unlink-api

Beschreibung unlink-description

Die Unlink-API kann verwendet werden, um das Entfernen eines oder mehrerer Geräte aus einem authentifizierten Profil (SSO-Profil) anzufordern. Mit dieser API können Benutzer Geräte von ihrer SSO-Einrichtung trennen und so steuern, welche Geräte Zugriff auf ihr authentifiziertes Profil haben.

Falls die Unlink API-Anfrage aufgrund eines Fehlers der Adobe Pass-Authentifizierungs-Services nicht verarbeitet werden konnte, werden zusätzliche Fehlerinformationen als Teil des Ergebnisses der Unlink API-Antwort einbezogen.

POST - Link aufheben post-unlink

Anfrage post-unlink-request

Antwort post-unlink-response

Erfolg success-post-unlink

Fehler error-post-unlink

Beispiele samples-post-unlink

​1. Anfrage zum Aufheben der Verknüpfung von Geräten mit einem SSO-Profil

POST /api/{serviceProvider}/unlink HTTP/1.1

    Authorization: Bearer <access_token>
    Content-Type: application/json
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

{
  "devices": [
    "deviceid1",
    "deviceid2",
    "deviceid3"
  ]
}

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "unlinkedDevices": [
    "deviceid1",
    "deviceid2",
    "deviceid3"
  ]
}

​2. Anfrage zum Aufheben der Verknüpfung von Geräten mit teilweisem Erfolg

POST /api/{serviceProvider}/unlink HTTP/1.1

    Authorization: Bearer <access_token>
    Content-Type: application/json
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

{
  "devices": [
    "deviceid1",
    "unknowndevice",
    "deviceid3"
  ]
}

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "unlinkedDevices": [
    "deviceid1",
    "deviceid3"
  ]
}

Listen-API list-api

Beschreibung list-description

Mit der Listen-API kann eine Liste von Geräten abgerufen werden, die derzeit mit einem authentifizierten Profil (SSO-Profil) verbunden sind. Diese API ermöglicht es Benutzenden und Anwendungen, anzuzeigen, welche Geräte Teil ihrer SSO-Einrichtung sind, und bietet Sichtbarkeit und Verwaltungsfunktionen für ihr authentifiziertes Erlebnis auf mehreren Geräten.

Die Listen-API gibt Details zu jedem Gerät im authentifizierten Profil (SSO-Profil) zurück, einschließlich Geräte-IDs und Metadaten, die Benutzern bei der Erkennung ihrer Geräte helfen können. Diese Informationen können Benutzenden helfen, fundierte Entscheidungen darüber zu treffen, welche Geräte im SSO-Setup verbleiben sollen.

Falls die Liste-API-Anfrage aufgrund eines Adobe Pass-Authentifizierungs-Service-Fehlers nicht verarbeitet werden konnte, werden zusätzliche Fehlerinformationen als Teil des Listen-API-Antwortergebnisses aufgenommen.

GET - Liste get-list

Anfrage get-list-request

Antwort get-list-response

Erfolg success-get-list

Fehler error-get-list

Beispiele samples-get-list

​1. Auflisten von Geräten in einem SSO-Profil anfordern

GET /api/{serviceProvider}/list HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "devices": {
    "deviceid1": {
      "deviceType": "smartTV",
      "model": "Samsung",
      "os": "Tizen",
      "osVersion": "5.0",
      "lastSeen": 1623840000000,
      "type": "regular"
    },
    "deviceid2": {
      "deviceType": "mobile",
      "model": "iPhone",
      "os": "iOS",
      "osVersion": "14.5",
      "lastSeen": 1623830000000,
      "type": "sso"
    },
    "deviceid3": {
      "deviceType": "tablet",
      "model": "iPad",
      "os": "iPadOS",
      "osVersion": "14.5",
      "lastSeen": 1623820000000,
      "type": "sso"
    }
  }
}

​2. Anfrage zur Auflistung von Geräten ohne verknüpfte Geräte

GET /api/{serviceProvider}/list HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "devices": {}
}

Fehler-Codes error-codes

Struktur der Fehlerantwort error-structure

Alle Fehlerantworten enthalten diese Felder:

Beispiel für eine Fehlerantwort

{
  "status": "BAD_REQUEST",
  "error": {
    "status": 400,
    "code": "header_missing",
    "message": "Required header is missing",
    "action": "check_headers",
    "helpUrl": "https://experienceleague.adobe.com/docs/pass/authentication/auth-features/error-reportn/enhanced-error-codes.html?lang=de",
    "trace": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
  }
}

Beispiel für eine erfolgreiche Antwort

{
  "status": "OK",
  "serviceToken": "eyJhbGciOiJIUzI1NiIs...",
  "notBefore": 1697500800000,
  "notAfter": 1697587200000
}

Fehlerkatalog error-catalog

Allgemeine Fehler

Validierungsfehler

POST-ServiceToken-Fehler

GET ServiceToken-Fehler

Fehler bei der Link-Validierung

Aufheben der Verknüpfung mit Validierungsfehlern

Fehler bei der Listenvalidierung