Autenticazione tramite il protocollo OAuth 2.0
NOTEPanoramica
Anche se SAML è ancora il principale protocollo utilizzato per l'autenticazione da parte degli MVPD statunitensi e delle aziende in generale, c'è una chiara tendenza verso il passaggio a OAuth 2.0 come protocollo di autenticazione principale. Il protocollo OAuth 2.0 (https://tools.ietf.org/html/rfc6749) è stato sviluppato principalmente per i siti di consumo ed è stato rapidamente adottato da giganti di Internet come Facebook, Google & Twitter.
OAuth 2.0 ha riscosso un enorme successo e questo ha spinto le aziende ad aggiornare lentamente la propria infrastruttura per supportarla.
Vantaggi del passaggio a OAuth 2.0
Ad alto livello, il protocollo OAuth 2.0 offre le stesse funzionalità del protocollo SAML, ma ci sono alcune importanti distinzioni.
Uno di questi è il fatto che il flusso del token di aggiornamento può essere utilizzato come modo per aggiornare l’autenticazione dietro le quinte. Questo consente all'IdP (gli MVPD in questo caso) di mantenere il controllo pur consentendo una buona esperienza utente, in quanto l'utente non è più tenuto ad accedere spesso a causa di problemi di sicurezza.
Il protocollo offre anche maggiore flessibilità in termini di dati esposti come provider di servizi ora può utilizzare i token per accedere ad altre API per ottenere informazioni aggiuntive. Questo a sua volta si traduce in un protocollo "chattier" per i casi d’uso di TVE, ma consente la flessibilità necessaria per flussi di lavoro complessi.
Requisiti per il passaggio a OAuth 2.0
Per supportare l’autenticazione con OAuth 2.0, un MVPD deve soddisfare i seguenti prerequisiti:
Innanzitutto, MVPD deve assicurarsi di supportare il flusso Concessione codice di autorizzazione.
Dopo aver confermato che supporta il flusso, il MVPD deve fornirci le seguenti informazioni:
-
end-point di autenticazione
- l’endpoint fornirà il codice di autorizzazione che verrà successivamente utilizzato in cambio del token di aggiornamento e accesso
-
end-point /token
- questo fornirà il token di aggiornamento e il token di accesso
- il token di aggiornamento deve essere stabile (non deve cambiare ogni volta che si richiede un nuovo token di accesso)
- MVPD deve consentire diversi token di accesso attivi per ogni token di aggiornamento
- questo endpoint scambierà anche un token di aggiornamento con un token di accesso
-
è necessario un endpoint per user-profile
- questo endpoint fornirà l’identificatore userID, che deve essere univoco per un account e non deve contenere alcuna informazione di identificazione personale
-
l'endpoint /logout (facoltativo)
- L’autenticazione Adobe Pass reindirizzerà a questo endpoint, fornirà all’MVPD un URI di reindirizzamento verso il retro; su questo endpoint, l’MVPD può cancellare i cookie sul computer client o applicare qualsiasi logica desiderata per la disconnessione
-
si consiglia vivamente di avere supporto per i client autorizzati (app client che non attivano una pagina di autorizzazione utente)
-
avremo anche bisogno di:
- clientID e client secret per le configurazioni di integrazione
- durata (TTL) valori per token di aggiornamento e token di accesso
- Possiamo fornire all'MVPD un callback di autorizzazione e un URI di callback di logout. Inoltre, se necessario, possiamo fornire agli MVPD un elenco di IP da inserire nella whitelist delle impostazioni del firewall.
