OIDC

OAuth 2.0 | Identity Provider (IdP) | Single Sign-On (SSO) | JSON Web Token (JWT) | Authentication Flow

OpenID Connect (OIDC) ist ein modernes Authentifizierungsprotokoll, das auf dem OAuth 2.0-Autorisierungsframework basiert. Es ermöglicht Clients – in der Regel Webanwendungen, mobile Apps oder Microservices – die Identität eines Benutzers auf sichere Weise zu verifizieren, die von einem sogenannten Identity Provider (IdP) bereitgestellt wird. Im Gegensatz zu OAuth 2.0, das ursprünglich nur für Autorisierungszwecke entwickelt wurde, erweitert OIDC dieses Protokoll um eine standardisierte Authentifizierungsschicht.

Funktionsweise

Das Herzstück von OIDC ist die ID-Token, meist im Format eines JSON Web Tokens (JWT). Dieses Token enthält Claims (z. B. Benutzer-ID, E-Mail-Adresse, Zeitstempel), die vom Identity Provider signiert werden. Der Client erhält dieses Token über einen Authentifizierungsfluss – wie den Authorization Code Flow, den Implicit Flow oder den Hybrid Flow – und kann es verwenden, um die Identität des Benutzers zu validieren.

Ein typischer Ablauf sieht so aus:

1. Der Benutzer navigiert zur Anwendung.

2. Die Anwendung leitet ihn an den Identity Provider weiter.

3. Nach erfolgreicher Authentifizierung wird der Benutzer zurückgeleitet, zusammen mit einem Code oder Token.

4. Die Anwendung validiert dieses Token und erhält Zugriff auf Benutzerinformationen.

Einsatzbereiche

OIDC wird in einer Vielzahl moderner IT-Architekturen verwendet:

• Single Sign-On (SSO): Benutzer müssen sich nur einmal anmelden, um auf mehrere Dienste zuzugreifen.

• Cloud-basierte Anwendungen: z. B. bei Integration mit Azure AD, Google Identity oder Auth0.

• Microservice-Architekturen: zentrale Authentifizierungslösung, die mit Service-Meshes wie Istio kombinierbar ist.

• Mobile Apps: Sicherstellung einer einheitlichen Benutzeridentität über Plattformen hinweg.

Vorteile

• Standardisiert und interoperabel: OIDC ist ein offener Standard, der von vielen Anbietern unterstützt wird.

• Skalierbar: geeignet für kleine bis hin zu global verteilten Systemen.

• Sicher: Durch den Einsatz von HTTPS, Signaturen, Token-Lebenszeiten und optionalen Sicherheitsmechanismen wie PKCE.

• Flexibel: Unterstützt verschiedene Authentifizierungsflüsse und Erweiterungen.

• Benutzerfreundlich: Dank SSO können sich Benutzer schneller und bequemer anmelden.

Verwandte Technologien

OIDC ist eng mit Technologien wie OAuth 2.0 (Autorisierung), SAML (älteres Authentifizierungsprotokoll), JWT (Token-Format) und SCIM (Benutzerprovisionierung) verwandt. Moderne IAM-Systeme wie Keycloak, Okta, Auth0 oder Microsoft Entra ID (vormals Azure AD) unterstützen OIDC nativ.

Die Experten der BITS haben OIDC sowie verwandte Technologien in einer Vielzahl von Projekten eingesetzt. Eine Auswahl an Case-Studies und Referenzen können Sie im Folgenden finden.