OAuth 2.0 SSO 개요

OAuth 2.0은 애플리케이션이 HTTP 서비스에 대해 사용자 계정이 제한된 액세스 권한을 얻을 수 있도록 지원하는 승인 프레임워크입니다. 사용자 계정을 호스팅하는 서비스에 사용자 인증을 위임하고 타사 애플리케이션이 사용자 계정에 액세스할 수 있도록 승인하는 방식으로 작동합니다. OAuth 2.0은 웹 및 데스크톱 애플리케이션과 모바일 기기를 위한 승인 흐름을 제공합니다.

OAuth 2.0에 대해 자세히 알아보기

기본 SSO

선택한 기능에 관계없이 기본 SSO에는 몇 가지 특정 데이터, 특히 공개 키가 필요합니다. 로열티 또는 신용카드 구현을 추가하려면 추가 정보가 필요합니다.

설정 정보

템플릿 사이트에 대한 OAuth 2.0 SSO 액세스를 올바르게 설정하려면 다음과 같이 몇 가지 사항이 필요합니다.

• API(승인, 토큰, userProfile)
• ClientId
• 클라이언트 암호
• ResponseMode
• isNonceEnabled
• customerDetailsAPIKey(사용 가능한 경우)

권한 부여 흐름

엔드포인트 인증

GET /authorize 엔드포인트는 인증 및 승인에 사용됩니다. 사용자가 로그인하면 권한 부여 또는 코드를 반환합니다. 인증을 위해 자격 증명을 제출하도록 안내하는 브라우저 리디렉션입니다.

응답 매개변수

샘플 인증 URL

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

샘플 콜백 URL

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

토큰 엔드포인트

POST /token엔드포인트는 권한 부여 또는 코드를 제시하여 액세스 토큰과 ID 토큰을 얻는 데 사용되는 백엔드 API 호출입니다.

요청 매개변수

요청 헤더

응답 속성

샘플 토큰 CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

토큰 응답 샘플

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "token_type": "Bearer",
    "expires_in": 1799
}

사용자정보 엔드포인트

GET /userinfo엔드포인트는 제공된 액세스 토큰을 기반으로 인증된 사용자에 대한 클레임을 반환하는 백엔드 API 호출입니다. 사이트의 계정 헤더에 고객 이름을 포함하는 데 사용되는 사용자 프로필 데이터를 반환하며, 이 데이터는 프로그램 계정을 통해 로열티 등급 정보를 로드할 수 있습니다.

참고: 응답에 필수 매개 변수가 제공되지 않으면 사이트의 고객 경험에 문제가 발생할 수 있습니다. 예를 들어, 템플릿 사이트에 고객 이름이 표시되지 않으며, 익스피디아 측에서 로열티 등록을 연결하는 데 필요한 프로그램 계정 정보가 누락됩니다.

요청 헤더

응답

샘플 사용자 정보 CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

사용자 정보 응답 샘플

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

로열티 추가

템플릿 사이트의 일부로 고객이 여행 구매 시 로열티 포인트를 적립할 수 있는 기능을 포함할 수 있습니다. 원하는 경우 템플릿을 통해 고객이 누적된 로열티 포인트()를 사용하여 여행을 구매할 수 있도록 허용할 수도 있습니다.

표준 구현과 동일한 설정 요구 사항이 적용되며, 여러 가지 값도 마찬가지입니다. 다르게 적용되는 값만 여기에 포함되어 있습니다.

로열티 프로그램 설정에는 표준 user information외에도 다음 값이 포함됩니다.

programAccount

금액

Silent sign-in

자동 인증( sign-in )을 사용하면 ID 공급업체에 유효한 세션이 이미 존재하는 경우 자동 인증을 사용할 수 있습니다. 사용자가 다른 브라우저 탭이나 애플리케이션에서 인증된 경우 기존 세션이 재사용되며 자격 증명을 입력하라는 메시지가 표시되지 않고 로그인됩니다.

이 기능은 logged-in 상태를 유지하기 위해 브라우저 쿠키를 유지하는 데 의존합니다. 표준 로그인과 SSO 흐름 모두에 동일한 권한 부여 엔드포인트를 사용합니다. 활성 세션이 감지되면 재인증을 트리거하지 않고 요청이 지정된 SSO 리디렉션 URL로 리디렉션됩니다.

SSO는 cookie-based 세션 지속성으로 인해 EU의 GDPR(일반 데이터 보호 규정) 준수 요구 사항이 적용되지 않는 판매점에 대해서만 사용하도록 설정할 수 있습니다. SSO 플로우를 사용하려면 ID 공급자 설정에서 리디렉션 URL을 구성해야 합니다. 익스피디아는 연동 중에 리디렉션 URL을 제공합니다.

네트워크 허용 목록

이 목록은 템플릿 사이트와 Expedia 환경 간의 안전한 통신을 위한 요구 사항을 정의합니다. 로컬 또는 lower-environment 테스트에 사용되는 IP 주소와 함께 AWS 이그레스 IP 범위를 제공합니다. 익스피디아의 인바운드 트래픽이 차단되지 않도록 하려면 이러한 IP를 허용 목록에 추가해야 합니다.

또한 조직의 아웃바운드 IP 주소를 당사와 공유하여 당사 측에서 허용 목록에 추가할 수 있도록 해야 합니다.

참고: 이러한 IP가 허용 목록에 추가되지 않으면(한쪽 또는 양쪽 모두) 아웃바운드 및 인바운드 SSO 호출 모두에서 연결에 문제가 발생합니다.

Expedia 엔드포인트

인증 호출을 사용하려면 ID 공급자의 redirect_uri에서 이 값으로 구성해야 합니다:

• {WLTP domain}/sso/auth: 로그인 흐름에 대한 인증 호출을 게시하는 SSO 리디렉션 엔드포인트
• {WLTP domain}/validateCurrentSession: SSO 리디렉션 엔드포인트가 조용한 sign-in 흐름에 대한 인증 호출을 게시합니다.

참고: Expedia는 표준 최대 세션 시간 제한을 60분으로 설정했습니다. 60분 후에는 토큰을 새로 고쳐야 합니다.