Servicio de inicio de sesión único Adobe sso-service

Este documento describe casos de uso, extremos y API para el servicio de inicio de sesión único de Adobe.

Revisión actual - 1.0.0

Ámbito scope

El servicio SSO de Adobe Pass permite una autenticación perfecta entre varios dispositivos y aplicaciones, lo que ofrece una experiencia de usuario unificada y, al mismo tiempo, mantiene los estándares de seguridad y conformidad. Este servicio responde a la creciente necesidad de autenticación multiplataforma en el panorama actual de la transmisión multidispositivo.

Información general overview

Qué es what-it-is

Una solución completa de inicio de sesión único que permite a los usuarios autenticarse una vez y administrar la transferencia de autenticación de forma informada a otros dispositivos

Retos actuales para la autenticación current-challenges

Oportunidad para un servicio SSO de Adobe Pass opportunity

Ventajas comerciales business-benefits

Proveedores de contenido content-providers

Usuarios finales end-users

IdPs (MVPD, telecomunicaciones, etc.) idps

Casos de uso use-cases

Asignación de identidad identity-mapping

El servicio crea la capacidad de vincular una cuenta de D2C y una de TVE en la misma aplicación.

Más servicios de streaming están construyendo paquetes para ser vendidos a un tercero (MVPD/virtual MVPD/Telco, etc.). Es posible que los usuarios tengan que gestionar varias cuentas en la misma aplicación. Para crear una experiencia de autenticación perfecta, un servicio debe vincular estas cuentas para simplificar el inicio de sesión.

El usuario se autenticará con su cuenta D2C y, a continuación, autenticará ONCE con una cuenta diferente (por ejemplo, MVPD). Con nuestro servicio, estas cuentas se vincularán, lo que significa que en adelante, las autenticaciones posteriores en diferentes dispositivos se pueden realizar solo con la cuenta D2C.

SSO entre dispositivos cross-device-sso

La autenticación en un dispositivo conectado a la TV puede ser más engorrosa que en un teléfono móvil. Una buena experiencia de usuario sería autenticarse por teléfono y luego pasar esa autenticación al televisor inteligente.

Componentes clave key-components

Casos de uso detallados use-cases-detailed

SSO D2C-TVE d2c-tve-sso

Este caso de uso permite la vinculación entre las credenciales de D2C y TVE (MVPD) en un dispositivo y aprovechar ese perfil vinculado en otros dispositivos dentro de la misma aplicación.

SSO entre dispositivos cross-device-sso-detailed

Este caso de uso permite a los usuarios que ya se han autenticado en un dispositivo reutilizar el perfil autenticado en la misma aplicación D2C o TVE instalada en otros dispositivos (aplicación necesaria para implementar Adobe Pass REST V2 para la autenticación y autorización).

Cómo integrar Adobe SSO Service en una aplicación D2C-TVE integration

Paso 1: Obtención de un identificador común step-1

Para integrar el servicio SSO de Adobe, una implementación de aplicación debe establecer un ID único y persistente para utilizarlo como atributo SSO de identificador común en X-SSO-ID. Esto se puede obtener autenticando a un usuario con un servicio D2C y conservando un atributo sobre esta autenticación.

Paso 2: Obtención de un token de servicio step-2

El uso del identificador común en X-SSO-ID en el extremo POST /serviceToken recuperará un JWT firmado con la siguiente carga útil:

{
  "iss": "ssoservicetoken",
  "sub": "unique_common_identifier",
  "nbf": 1758093558,
  "exp": 1758097158,
  "iat": 1758093558
}

El token de servicio tiene una fecha de caducidad "iat" (emitida el y "exp") en la que el intervalo de validez del token de servicio es válido. En caso de caducidad, se puede obtener un nuevo JWT mediante el extremo GET /serviceToken con el token de servicio caducado.

Paso 3: Autenticación mediante la API de REST de Adobe Pass V2 con un MVPD de TVE step-3

La autenticación con Adobe Pass debe implementarse usando el token de servicio: API REST V2 - Flujos de token de servicio de inicio de sesión único

Paso 4: Vincular otro dispositivo step-4

Desde la aplicación autenticada, se puede crear un vínculo para utilizarlo en un dispositivo diferente mediante la API /link

{
    "status": "CREATED",
    "code": "228128",
    "notBefore": 1758094617220,
    "notAfter": 1758098217220
}

El "código" es un código de vínculo de corta duración en forma de secuencia de 6 dígitos que el usuario introduce en una aplicación no autenticada en un dispositivo secundario

Paso 5: Recuperación de la autenticación de inicio de sesión único step-5

En un dispositivo diferente, una vez que el usuario introdujo el código, la aplicación puede:

El perfil de MVPD será válido mediante SSO durante el período en el que se obtuvo la autenticación inicial.

En caso de que MVPD invalide el perfil o el usuario decida cerrar la sesión desde MVPD, la aplicación que utiliza la API de REST de Adobe Pass V2 dejará de tener un registro de perfil y deberá exigir al usuario que vuelva a autenticarse con MVPD.

Paso 6: Administración del inicio de sesión único en otros dispositivos step-6

Una aplicación puede obtener información sobre todos los demás dispositivos vinculados con el mismo identificador común mediante la API /list.

En cualquier momento, se puede eliminar un dispositivo del inicio de sesión único desvinculando ese dispositivo con la API /unlink.

API apis

API de token de servicio service-token-api

Descripción service-token-description

La API de token de servicio se puede utilizar para solicitar y administrar tokens de servicio que habilitan la funcionalidad de inicio de sesión único (SSO) entre varias aplicaciones o dispositivos. Estos tokens de servicio identifican perfiles autenticados (perfiles SSO) y son esenciales para establecer y mantener conexiones SSO.

La API de token de servicio proporciona dos extremos principales:

En caso de que la solicitud de API de token de servicio no se haya podido atender debido a un error de los servicios de autenticación de Adobe Pass, se incluirá información de error adicional como parte de la respuesta de la API.

POST: serviceToken post-service-token

Solicitud post-service-token-request

Respuesta post-service-token-response

Correcto success-post-service-token

Error error-post-service-token

Muestras samples-post-service-token

​1. Solicite un nuevo token de servicio (con ID de SSO)

POST /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    X-SSO-ID: <sso_id>
    AP-Device-Identifier: fingerprint <base64_device_id>
    X-Device-Info: <base64_device_info>
    Accept: application/json

HTTP/1.1 201 Created

Content-Type: application/json

{
  "status": "CREATED",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

​2. Solicite un nuevo token de servicio (con vínculo SSO)

POST /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    X-SSO-LINK: <link_code>
    AP-Device-Identifier: fingerprint <base64_device_id>
    X-Device-Info: <base64_device_info>
    User-Agent: <user_agent>
    Accept: application/json

HTTP/1.1 201 Created

Content-Type: application/json

{
  "status": "CREATED",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

GET: serviceToken get-service-token

Solicitud get-service-token-request

Respuesta get-service-token-response

Correcto success-get-service-token

Error error-get-service-token

Muestras samples-get-service-token

​1. Solicite actualizar un token de servicio

GET /api/{serviceProvider}/serviceToken HTTP/1.1

    Authorization: Bearer <access_token>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "serviceToken": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "notBefore": 1710000000000,
  "notAfter": 1710003600000
}

API de vínculo link-api

Descripción link-description

La API de vínculo se puede utilizar para solicitar un código de vínculo (o código QR) que pueda habilitar el inicio de sesión único (SSO) entre varias aplicaciones o dispositivos. Este código de vínculo permite a los usuarios conectar una nueva aplicación o dispositivo a un perfil autenticado existente (perfil SSO), lo que proporciona una experiencia SSO perfecta entre aplicaciones o dispositivos.

La API de vínculo requiere que se proporcione un token de servicio válido en el encabezado AD-Service-Token.

El código de vínculo generado generalmente se muestra a los usuarios de una aplicación o dispositivo principal y se introduce en una aplicación o dispositivo secundario para establecer la conexión SSO. El código de vínculo tiene un periodo de validez limitado (normalmente de 5 a 30 minutos) y está diseñado para utilizarse una sola vez.

En caso de que la solicitud de API de vínculo no se haya podido atender debido a un error de los servicios de autenticación de Adobe Pass, se incluirá información de error adicional como parte del resultado de la respuesta de la API de vínculo.

POST: vínculo post-link

Solicitud post-link-request

Respuesta post-link-response

Correcto success-post-link

Error error-post-link

Muestras samples-post-link

​1. Solicite un código de vínculo para un perfil autenticado existente

POST /api/{serviceProvider}/link HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 201 Created

Content-Type: application/json

{
   "status": "CREATED",
   "code": "123456",
   "notBefore": 1623840000000,
   "notAfter": 1623842700000
}

Desvincular API unlink-api

Descripción unlink-description

La API de desvinculación se puede utilizar para solicitar la eliminación de uno o varios dispositivos de un perfil autenticado (perfil SSO). Esta API permite a los usuarios desconectar dispositivos de su configuración de SSO, lo que permite controlar qué dispositivos tienen acceso a su perfil autenticado.

En caso de que la solicitud de API de desvinculación no se haya podido atender debido a un error de los servicios de autenticación de Adobe Pass, se incluirá información de error adicional como parte del resultado de la respuesta de API de desvinculación.

POST: desvincular post-unlink

Solicitud post-unlink-request

Respuesta post-unlink-response

Correcto success-post-unlink

Error error-post-unlink

Muestras samples-post-unlink

​1. Solicite desvincular dispositivos de un perfil SSO

POST /api/{serviceProvider}/unlink HTTP/1.1

    Authorization: Bearer <access_token>
    Content-Type: application/json
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

{
  "devices": [
    "deviceid1",
    "deviceid2",
    "deviceid3"
  ]
}

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "unlinkedDevices": [
    "deviceid1",
    "deviceid2",
    "deviceid3"
  ]
}

​2. Solicite desvincular dispositivos con éxito parcial

POST /api/{serviceProvider}/unlink HTTP/1.1

    Authorization: Bearer <access_token>
    Content-Type: application/json
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

{
  "devices": [
    "deviceid1",
    "unknowndevice",
    "deviceid3"
  ]
}

HTTP/1.1 200 OK

Content-Type: application/json

{
  "status": "OK",
  "unlinkedDevices": [
    "deviceid1",
    "deviceid3"
  ]
}

API de lista list-api

Descripción list-description

La API de lista se puede utilizar para obtener una lista de dispositivos conectados actualmente a un perfil autenticado (perfil SSO). Esta API permite a los usuarios y las aplicaciones ver qué dispositivos forman parte de su configuración de SSO, lo que proporciona visibilidad y capacidades de administración para su experiencia autenticada en varios dispositivos.

La API de lista devuelve detalles sobre cada dispositivo en el perfil autenticado (perfil SSO), incluidos los identificadores de dispositivo y los metadatos que pueden ayudar a los usuarios a reconocer sus dispositivos. Esta información se puede utilizar para ayudar a los usuarios a tomar decisiones informadas sobre qué dispositivos deben permanecer en su configuración de SSO.

En caso de que la solicitud de API de lista no se haya podido atender debido a un error de los servicios de autenticación de Adobe Pass, se incluirá información de error adicional como parte del resultado de la respuesta de API de lista.

GET: lista get-list

Solicitud get-list-request

Respuesta get-list-response

Correcto success-get-list

Error error-get-list

Muestras samples-get-list

​1. Solicitud para enumerar dispositivos en un perfil SSO

GET /api/{serviceProvider}/list HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "devices": {
    "deviceid1": {
      "deviceType": "smartTV",
      "model": "Samsung",
      "os": "Tizen",
      "osVersion": "5.0",
      "lastSeen": 1623840000000,
      "type": "regular"
    },
    "deviceid2": {
      "deviceType": "mobile",
      "model": "iPhone",
      "os": "iOS",
      "osVersion": "14.5",
      "lastSeen": 1623830000000,
      "type": "sso"
    },
    "deviceid3": {
      "deviceType": "tablet",
      "model": "iPad",
      "os": "iPadOS",
      "osVersion": "14.5",
      "lastSeen": 1623820000000,
      "type": "sso"
    }
  }
}

​2. Solicitar la lista de dispositivos sin dispositivos vinculados

GET /api/{serviceProvider}/list HTTP/1.1

    Authorization: Bearer <access_token>
    AP-Device-Identifier: fingerprint <base64_device_id>
    AD-Service-Token: <service_token>
    Accept: application/json
    User-Agent: <user_agent>

HTTP/1.1 200 OK

Content-Type: application/json

{
  "devices": {}
}

Códigos de error error-codes

Estructura de respuesta de error error-structure

Todas las respuestas de error incluyen estos campos:

Ejemplo de respuesta de error

{
  "status": "BAD_REQUEST",
  "error": {
    "status": 400,
    "code": "header_missing",
    "message": "Required header is missing",
    "action": "check_headers",
    "helpUrl": "https://experienceleague.adobe.com/docs/pass/authentication/auth-features/error-reportn/enhanced-error-codes.html?lang=es",
    "trace": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
  }
}

Ejemplo de respuesta correcta

{
  "status": "OK",
  "serviceToken": "eyJhbGciOiJIUzI1NiIs...",
  "notBefore": 1697500800000,
  "notAfter": 1697587200000
}

Catálogo de códigos de error error-catalog

Errores generales

Errores de validación

Errores de ServiceToken de POST

Errores de ServiceToken de GET

Errores de validación de vínculos

Desvincular errores de validación

Errores de validación de lista