本文将介绍数字身份管控平台(员工版) (以下简称 EIAM) 为 OIDC 应用系统提供的 API 。通过调用相关 API ,应用可以完成与用户身份相关的各类操作,例如:用户认证、用户信息的获取等。
注意
前提条件
单点登录
对于应用实现用户认证的功能,EIAM 产品提供通过认证门户登录并直接单点登录至应用的能力。基于 OIDC 应用协议,提供授权码模式、PKCE 模式等多种认证授权方式。下面以授权码模式为例展示 OIDC 应用实现用户认证的流程。
1. 登录 数字身份管控平台(员工版)控制台,在左侧导航栏,单击应用管理。
2. 在应用管理页面,选择已创建的 OIDC 应用,单击应用配置。
![](https://qcloudimg.tencent-cloud.cn/image/document/58b2505f4d2a4fa23cfedce5062d0884.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/58b2505f4d2a4fa23cfedce5062d0884.png)
3. 在应用信息页面,获取 Authorize URL,此 URL 为用户在应用系统登录时,应用将用户重定向的认证地址,详情请参见 授权码模式。
![](https://qcloudimg.tencent-cloud.cn/image/document/1de2349c3e2be3635b7b992a4e84357e.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/1de2349c3e2be3635b7b992a4e84357e.png)
4. 首次访问会跳转到登录页面进行用户身份认证,输入账号密码后单击登录,认证通过后重定向到指定地址(redirect_uri),并在URL 中携带 code 参数。
![](https://qcloudimg.tencent-cloud.cn/image/document/2958f36206b363e5cf22fa61c11af6f7.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/2958f36206b363e5cf22fa61c11af6f7.png)
5. 使用应用回调地址,接收到回调请求后,可以通过调用 获取 Token 接口,来获取 id_token、access_token 和 refresh_token。
6. 应用建立用户的登录态,将 id_token、access_token 和 refresh_token 与登录态关联起来,完成登录。
说明
应用系统可自行选择合适的方法建立并保持登录态,例如:Web 应用可以使用 session cookie ,单页应用可以使用 localStorage 或 sessionStorage 。
短信验证码二次认证
针对在 EIAM 控制台开启了二次认证功能的情况下,发起的密码登录场景。
说明
1. 登录 数字身份管控平台(员工版)控制台,在左侧导航栏,单击应用管理。
2. 调用 密码模式,触发二次认证将会返回
mfa_required
的错误码并返回 mfa_token
。3. 调用 MFA 认证因子质询 接口,输入
mfa_token
,该接口会发送短信验证码,并返回 oob 码。4. 调用 oob 模式的 短信验证码模式,传入 oob 码和短信验证码,验证通过后返回 id_token、access_token 和 refresh_token。
5. 应用建立用户的登录态,将 id_token、access_token 和 refresh_token 与登录态关联起来,完成登录。
说明
应用系统可自行选择合适的方法建立并保持登录态,例如:Web 应用可以使用 session cookie ,单页应用可以使用 localStorage 或 sessionStorage 。