LWS 1.0 인증 스위트: OpenID Connect

OpenID Connect는 웹 기반 인증에 널리 사용되는 메커니즘입니다. 이 인증 스위트는 OpenID 제공자를 Linked Web Storage 준수 애플리케이션과 함께 사용할 수 있는 방법을 설명합니다.

비규범으로 표시된 섹션뿐 아니라, 이 명세의 모든 작성 지침, 다이어그램, 예제, 참고는 비규범입니다. 이 명세의 그 밖의 모든 것은 규범입니다.

이 문서의 핵심 단어 MUST, MUST NOT, 그리고 SHOULD는 여기에 표시된 것처럼 모두 대문자로 나타날 때, 그리고 오직 그 경우에만 BCP 14 [RFC2119] [RFC8174]에 설명된 대로 해석해야 합니다.

"authorization server" 및 "client"라는 용어는 The OAuth 2.0 Authorization Framework [RFC6749]에서 정의합니다.

"OpenID provider", "id token", "end-user", 그리고 "issuer"라는 용어는 OpenID Connect Core 1.0 [OPENID-CONNECT-CORE]에서 정의합니다.

"openid connect discovery"라는 용어는 OpenID Connect Discovery 1.0 [OPENID-CONNECT-DISCOVERY]에서 정의합니다.

"controlled identifier document"라는 용어는 W3C Controlled Identifiers 1.0 [CID-1.0]에서 정의합니다.

"JSON Web Token (JWT)" 및 "claim"이라는 용어는 JSON Web Token [RFC7519]에서 정의합니다.

"JSON Web Key (JWK)"라는 용어는 JSON Web Key [RFC7517]에서 정의합니다.

"agent", "authentication credential", 그리고 "authentication suite"라는 용어는 Linked Web Storage Protocol [LWS10-CORE]에서 정의합니다.

OpenID Connect는 최종 사용자를 설명하는 데 사용되는 서명된 ID Token을 생성하기 위한 프로토콜을 정의합니다. ID Token은 서명된 JSON Web Token (JWT)으로 직렬화됩니다. ID Token을 LWS authentication credential로 사용하려면 다음 추가 요구사항이 적용됩니다.

• ID Token은 MUST NOT 서명 알고리즘으로 "none"을 사용해야 합니다.
• ID Token은 MUST LWS 주체 식별자에 sub (subject) claim을 사용해야 합니다.
• ID Token은 MUST LWS 발급자 식별자에 iss (issuer) claim을 사용해야 합니다.
• ID Token은 MUST LWS 클라이언트 식별자에 azp (authorized party) claim을 사용해야 합니다.
• ID Token의 모든 audience restriction은 MUST aud (audience) claim을 사용해야 합니다. aud claim은 SHOULD 클라이언트 식별자와 권한 부여 서버 같은 추가 대상 audience를 포함해야 합니다.

LWS authentication credential이기도 한 예제 ID Token은 아래에 포함되어 있습니다.

{
  "typ": "JWT",
  "kid": "12dbe73a",
  "kty": "EC",
  "alg": "ES256",
  "crv": "P-256"
}
.
{
  "sub": "https://id.example/end-user",
  "iss": "https://openid.example",
  "azp": "https://client.example/17da1b",
  "aud": ["https://client.example/17da1b", "https://as.example"],
  "iat": 1761313600,
  "exp": 1761313900
}
.
signature

ID Token이 LWS authentication credential로 검증되려면, 검증자와 발급 당사자 사이에 신뢰 관계가 있어야 합니다.

기존 신뢰 관계가 없는 경우, 검증자는 MUST authentication credential의 sub (subject) claim을 역참조해야 합니다. 결과 리소스는 MUST 주체 식별자와 동일한 id 값을 가진 유효한 controlled identifier document [CID-1.0] 형식이어야 합니다.

검증자는 MUST 주체의 controlled identifier document를 사용하여 serviceEndpoint 값이 authentication credential의 iss claim 값과 같고, type 값이 https://www.w3.org/ns/lws#OpenIdProvider와 같은 서비스 객체를 찾아야 합니다. 검증자는 MUST OpenID Connect Discovery를 수행하여 authentication credential에 서명하는 데 사용된 JSON Web Key (JWK)의 공개 부분을 찾아야 합니다. JWT는 MUST OpenID Connect Core Section 3.1.3.7 [OPENID-CONNECT-CORE]에 설명된 대로 검증되어야 합니다.

OpenID Connect를 사용하는 agent의 예제 Controlled Identifier Document는 아래에 포함되어 있습니다.

{
    "@context": [
        "https://www.w3.org/ns/cid/v1"
    ],
    "id": "https://id.example/end-user",
    "service": [{
        "type": "https://www.w3.org/ns/lws#OpenIdProvider",
        "serviceEndpoint": "https://openid.example"
    }]
}

authentication credential로 사용되는 ID Token은 권한 부여 서버와 상호작용할 때 MUST urn:ietf:params:oauth:token-type:id_token URI를 사용해야 합니다.