OpenID Connect SSO の概要

OpenID Connect (OIDC) は OAuth 2.0 ベースの認証プロトコルで、大手テクノロジー企業で採用されています。

OIDC の詳細

ベーシック SSO

選択した機能に関係なく、ベーシック SSO の設定要件は同じです。ロイヤルティまたはクレジット カードの実装を追加すると、追加情報が必要になります。

設定要件

テンプレートサイトへの OIDC SSO アクセスを適切に設定するには以下が必要です。

• API (authorize、token、userProfile)
• ClientId
• クライアントシークレット
• ResponseMode
• isNounceEnabled
• customerDetailsAPIKey (利用可能な場合)

エクスペディアの標準的な OIDC SSO 実装はエクスペディアの公開鍵を使用して暗号化され、承認後エンドポイントを作成し、nounce を有効にし、スコープパラメーターを設定します。ユーザー情報も含めます。

承認

GET /authorize エンドポイントは認証と承認に使用されます。クライアントに承認グラントを返します。

リクエストパラメーター

レスポンスパラメーター

トークン

POST /token エンドポイントは、承認グラントを提示することで、ユーザーの身元を検証するために使用されます。

リクエストパラメーター

リクエストヘッダー

レスポンスパラメーター

ID_token は JSON Web トークン (JWT) で、クレームと呼ばれる認証情報の断片を含んでいます。以下の表のように、エクスペディアのテンプレートソリューションではクレームとして header、payload、signature を使用しています。

ヘッダークレーム

ペイロードクレーム

署名クレーム

署名の検証：署名は client_id とアルゴリズムに適切な鍵に対して検証されます。

ロイヤルティの追加

テンプレートサイトの一部として、顧客が旅行の購入でロイヤルティポイントを獲得できる機能を含めることができます。テンプレートでは、必要に応じて顧客が貯めたロイヤルティポイントを利用して旅行を購入できるようにすることもできます。

多くの値と同様に、標準実装と同じ設定要件が適用されます。異なるものだけをここに掲載します。

標準的なユーザー情報 に加えて、ロイヤルティプログラム設定には以下の値が含まれます。

programAccount

支払いカードの制限

顧客が組織のクレジットカードを使用して予約するのを義務付けるようサイトを設定できます。すべてのテンプレートソリューションですべての主要なクレジットカードまたはデビットカード、および (米国では) PayPal を受け付けることができるため、これは必須ではありません。

クレジットカードの安全性と保管

組織のカスタムクレジット カードを使用して購入することを義務付けた場合でも、心配は無用です。クレジットカードは次のように扱われます。

• 顧客のエクスペディアプロフィールにリンクされた、トークン化された形式でカード情報が保存されます。暗号化されていない状態で保存されることは決してありません。
• 人間は暗号化されていないカードデータにアクセスできず、安全な IAM ログイン情報を使用しないと復号化できなくなっています。
• カードがチェックアウトページにプリロードされると、カード番号ではなくカードの説明のみが表示されます。
• 保存されたカードで予約を完了する場合、顧客はカードのセキュリティコードを入力する必要があります。

設定要件

標準実装の設定要件に加え、クレジットカードが追加されると以下が必要になります。

• AuthnRequest パラメーターに使用するエンドポイント
• 署名検証用の公開鍵

エクスペディアでは自社の秘密鍵を使用して AuthnRequest ペイロードに署名し、貴社側で署名検証を実行してもらうためにエクスペディアの公開鍵を使用します。

ペイロードの詳細

顧客がサイトにログインすると、クレジットカード SSO では、標準実装で説明されている属性とともに、セキュアなエクスペディア SSO エンドポイントに 2 つの取引パラメーターを送信します。

• ユーザー情報 API : 署名され暗号化されたアサーションを持つ、エンコードされ署名されたレスポンスペイロード。
• RelayState : ランディングページ URL へのディープリンク。

ペイロードには次のクレジットカードの詳細も含まれます。