LWS 1.0 인증 스위트: OpenID Connect

OpenID Connect는 웹 기반 인증에 널리 사용되는 메커니즘입니다. 이 인증 스위트는 OpenID 제공자를 Linked Web Storage 준수 애플리케이션과 함께 사용할 수 있는 방법을 설명합니다.

비규범으로 표시된 섹션뿐 아니라, 이 명세의 모든 작성 지침, 다이어그램, 예제, 참고는 비규범입니다. 이 명세의 그 밖의 모든 것은 규범입니다.

이 문서의 핵심 단어 MUST, MUST NOT, 그리고 SHOULD는 여기에 표시된 것처럼 모두 대문자로 나타날 때, 그리고 오직 그 경우에만 BCP 14 [RFC2119] [RFC8174]에 설명된 대로 해석해야 합니다.

"인가 서버" 및 "클라이언트"라는 용어는 OAuth 2.0 인가 프레임워크 [RFC6749]에서 정의된다.

"OpenID 제공자", "ID 토큰", "최종 사용자" 및 "발급자"라는 용어는 OpenID Connect Core 1.0 [OPENID-CONNECT-CORE]에서 정의된다.

"OpenID Connect 디스커버리"라는 용어는 OpenID Connect 디스커버리 1.0 [OPENID-CONNECT-DISCOVERY]에서 정의된다.

"제어 식별자 문서"라는 용어는 W3C 제어 식별자 1.0 [CID-1.0]에서 정의된다.

"JSON 웹 토큰(JWT)" 및 "클레임"이라는 용어는 JSON 웹 토큰 [RFC7519]에서 정의된다.

"JSON 웹 키(JWK)"라는 용어는 JSON 웹 키 [RFC7517]에서 정의된다.

"에이전트", "인증 자격 증명", 및 "인증 스위트"는 연결된 웹 저장소 프로토콜 [LWS10-CORE]에서 정의된다.

OpenID Connect는 최종 사용자를 설명하는 데 사용되는 서명된 ID Token을 생성하기 위한 프로토콜을 정의합니다. ID Token은 서명된 JSON Web Token (JWT)으로 직렬화됩니다. ID Token을 LWS authentication credential로 사용하려면 다음 추가 요구사항이 적용됩니다.

• ID Token은 MUST NOT 서명 알고리즘으로 "none"을 사용해야 합니다.
• ID Token은 MUST LWS 주체 식별자에 sub (subject) claim을 사용해야 합니다.
• ID Token은 MUST LWS 발급자 식별자에 iss (issuer) claim을 사용해야 합니다.
• ID Token은 MUST LWS 클라이언트 식별자에 azp (authorized party) claim을 사용해야 합니다.
• ID Token의 모든 audience restriction은 MUST aud (audience) claim을 사용해야 합니다. aud claim은 SHOULD 클라이언트 식별자와 권한 부여 서버 같은 추가 대상 audience를 포함해야 합니다.

LWS authentication credential이기도 한 예제 ID Token은 아래에 포함되어 있습니다.

{
  "typ": "JWT",
  "kid": "12dbe73a",
  "kty": "EC",
  "alg": "ES256",
  "crv": "P-256"
}
.
{
  "sub": "https://id.example/end-user",
  "iss": "https://openid.example",
  "azp": "https://client.example/17da1b",
  "aud": ["https://client.example/17da1b", "https://as.example"],
  "iat": 1761313600,
  "exp": 1761313900
}
.
signature

ID Token이 LWS 인증 자격 증명으로 유효하려면, 검증자와 발급 당사자 사이에 신뢰 관계가 있어야 한다.

기존 신뢰 관계가 없는 경우, 검증자는 MUST authentication credential의 sub (subject) claim을 역참조해야 합니다. 결과 리소스는 MUST 주체 식별자와 동일한 id 값을 가진 유효한 controlled identifier document [CID-1.0] 형식이어야 합니다.

검증자는 MUST 주체의 controlled identifier document를 사용하여 serviceEndpoint 값이 authentication credential의 iss claim 값과 같고, type 값이 https://www.w3.org/ns/lws#OpenIdProvider와 같은 서비스 객체를 찾아야 합니다. 검증자는 MUST OpenID Connect Discovery를 수행하여 authentication credential에 서명하는 데 사용된 JSON Web Key (JWK)의 공개 부분을 찾아야 합니다. JWT는 MUST OpenID Connect Core Section 3.1.3.7 [OPENID-CONNECT-CORE]에 설명된 대로 검증되어야 합니다.

OpenID Connect를 사용하는 agent의 예제 Controlled Identifier Document는 아래에 포함되어 있습니다.

{
    "@context": [
        "https://www.w3.org/ns/cid/v1"
    ],
    "id": "https://id.example/end-user",
    "service": [{
        "type": "https://www.w3.org/ns/lws#OpenIdProvider",
        "serviceEndpoint": "https://openid.example"
    }]
}

authentication credential로 사용되는 ID Token은 권한 부여 서버와 상호작용할 때 MUST urn:ietf:params:oauth:token-type:id_token URI를 사용해야 합니다.