Che cos'è OAuth2.0?

Esplorazione di OAuth2.0

Benvenuti all'esplorazione di OAuth2.0, un protocollo di autenticazione potente ma spesso incompreso all'interno dell'universo Tulip. In questo articolo sveleremo i fondamenti, vi guideremo attraverso i flussi di autenticazione supportati da Tulip, demistificheremo la configurazione del vostro connettore iniziale e condivideremo consigli rapidi per un inizio senza intoppi.

OAuth2.0 può essere complicato e, per mantenere le cose concise, abbiamo omesso alcuni aspetti tecnici dettagliati da questo articolo. Se desiderate un'immersione più approfondita nella gestione di Tulip dei token di aggiornamento, nella gestione dell'ambito e del pubblico e nelle configurazioni personalizzate dei connettori, vi consigliamo di consultare questa guida tecnica approfondita su OAuth2.0.

Svelare le basi

Prima di addentrarci nei dettagli, vi suggeriamo di familiarizzare con gli ambienti e di ottenere una panoramica degli host del connettore e delle loro funzioni.

OAuth2.0 è un meccanismo che consente a Tulip (il cliente) di stabilire la propria identità con i sistemi aziendali. L'accesso viene concesso attraverso un handshake e Tulip supporta principalmente il flusso del codice di autorizzazione, il flusso OAuth più comune. Ecco una breve panoramica di come si svolge questo flusso:

1. L'utente avvia il flusso facendo clic sul pulsante Test prima di salvare un connettore.
2. Tulip comunica con il server di autorizzazione del provider OAuth, condividendo parametri specifici come l'identità del cliente, gli ambiti (ciò a cui si sta tentando di accedere) e altri dettagli rilevanti.
3. Il server di autorizzazione chiede all'utente di concedere l'accesso, come illustrato di seguito:

1. Quando l'utente acconsente, l'Authorization Server genera un codice di autorizzazione e conclude la finestra di autenticazione.
2. Armato di un codice di autorizzazione, Tulip richiede in modo sicuro un token raggiungendo l'endpoint del token, fornendo il codice di autorizzazione, il client id, il client secret e altre proprietà.
3. Dopo aver convalidato il codice di autorizzazione, il server risponde con un token e, facoltativamente, con un token di aggiornamento. Questo token serve per le richieste autorizzate dall'utente.
4. Tulip può ora eseguire le richieste per conto degli utenti, con il token fornito per l'autorizzazione.

Configurazione di OAuth

Esempio di configurazione

Tipi di autenticazione

Tulip supporta due tipi di autenticazione OAuth2.0: Admin OAuth e Operator OAuth. La distinzione chiave sta nel modo in cui le credenziali vengono condivise tra gli utenti.

• OAuth (Admin): Utilizza le credenziali fornite durante il test del connettore per tutti gli utenti del player Tulip. Ideale per condividere le credenziali in tutta l'organizzazione. La riautenticazione dell'amministratore è necessaria se le credenziali scadono.
• OAuth (Operatore): Segmenta l'autenticazione in base all'utente connesso a Tulip Player. Se un utente non si è autenticato o l'autenticazione scade, l'utente subisce il flusso OAuth all'interno di Tulip Player.

URL del codice di autorizzazione

È l'URL che Tulip contatta nella fase 2 del flusso del codice di autenticazione. Si trova nella documentazione dell'API del provider OAuth e di solito termina in /auth o /authorize.

URL del token di accesso

Dopo la risposta del server di autorizzazione, viene effettuata una richiesta all'URL del token di accesso per ottenere un token per l'autenticazione. Generalmente termina con /token.

ID cliente e segreto cliente

Generato dall'interfaccia utente del provider OAuth, l'ID cliente viene passato con la richiesta iniziale di un codice di autenticazione. L'ID cliente e il Segreto cliente accompagnano tutte le richieste di token.

Pubblico e ambito

Audience specifica le risorse specifiche a cui l'utente vuole accedere, mentre Scope definisce le azioni desiderate su queste risorse. Entrambi vengono trasmessi durante la richiesta del codice di autorizzazione al punto 2.

Opzioni aggiuntive

• Invia i dati della richiesta di token come JSON: Cambia il tipo di codifica della richiesta inviata all'URL del token. Abilitato se necessario per integrazioni specifiche.
• Invia intestazione di autenticazione per la richiesta di aggiornamento: Aggiunge un Header in più alle richieste di aggiornamento, se abilitato.
• Salta il prompt del consenso dell'utente: Controlla l'attributo prompt della richiesta del Codice di autenticazione. Disabilitato lo imposta su consenso, mentre abilitato lo imposta su login, lasciando che sia il provider OAuth a decidere quale schermata di login visualizzare.

:::(Warning) (Nota) Per alcune integrazioni, escludere o impostare l'attributo prompt su nessuno. Rivolgersi a support@tulip.co per ulteriori funzionalità:

Approfondimenti

Volete saperne di più? Esplorate questi articoli:

• Configurazione di OAuth2.0 e dettagli tecnici
• Come eseguire una funzione connettore in più ambienti