Información general sobre el SSO de OpenID Connect

OpenID Connect (OIDC) es un protocolo de autenticación basado en OAuth 2.0 que han adoptado las principales empresas tecnológicas.

Más información sobre OIDC

SSO básico

Independientemente de las funciones que hayas seleccionado, los requisitos de configuración del SSO básico son los mismos. Para añadir implementaciones de fidelidad o tarjetas de crédito, se pedirá más información.

Requisitos de configuración

Para configurar correctamente el acceso SSO de OIDC a tu sitio web creado a partir de una plantilla, necesitaremos varios datos, como los siguientes:

• APIs (autorizar, token, userProfile, JWKS)
• ID de cliente
• Secreto de cliente
• ResponseMode
• isNounceEnabled
• customerDetailsAPIKey (si está disponible)

Flujos de autorización

Autorizar punto final

El punto de conexión GET /authorize se utiliza para la autenticación y la autorización. Devuelve una concesión o código de autorización al cliente post usuario es logged-in. Es una redirección del navegador.

Parámetros de solicitud

Parámetros de respuesta

Ejemplo de URL de autorización

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=openid email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

Ejemplo de URL de devolución de llamada

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

Punto final del token

El punto final POST /token es una llamada a la API backend que se utiliza para obtener un token de acceso y un token de identificación presentando una concesión o código de autorización.

Parámetros de solicitud

Encabezados de solicitud

Parámetros de respuesta

ID_token

ID_token es un token web JSON (JWT) que incluye fragmentos de información de autenticación llamados reclamaciones. Las soluciones de plantilla de Expedia utilizan las reclamaciones header, payload y signature com en la tabla siguiente.

Reclamaciones de encabezado

Reclamaciones de carga

Reclamaciones de firma

Validación de la firma: La firma se validará con la clave apropiada (obtenida mediante JWKS endpoint) para ese client_id y algoritmo.

Muestra de token CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

Ejemplo de respuesta de token

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6.IllEQnJQdlllYlRwa1laODZoaGk1MkFDVX.d3QV9SUzI1NiJ9",
    "token_type": "Bearer",
    "expires_in": 1799
}

Punto final Userinfo

El punto final GET /userinfo es una llamada a la API backend que devuelve afirmaciones sobre el usuario autenticado basadas en el token de acceso proporcionado.

Encabezados de solicitud

Respuesta

Ejemplo de Userinfo CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

Ejemplo de respuesta de Userinfo

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

Añadir programa de fidelidad

Como parte de tu sitio web creado a partir de una plantilla, puedes incluir la posibilidad de que tus clientes ganen puntos de fidelidad en sus compras de viajes. Si quieres, la plantilla también puede permitir a tus clientes utilizar sus puntos de fidelidad acumulados para comprar viajes.

Se aplican los mismos requisitos de configuración que en la implementación estándar, así como muchos de los valores. Aquí solo se incluyen los que son diferentes.

Además del estándar user information, la configuración del programa de fidelización incluirá los siguientes valores.

programAccount

Importe

Restringir tarjeta de pago

Podemos configurar tu sitio web para que los clientes deban usar la tarjeta de crédito de tu organización en las reservas. Es opcional, ya que todas las soluciones de plantilla pueden aceptar cualquier tarjeta de crédito o débito de las entidades principales y (en EE. UU.) PayPal.

Almacenamiento y seguridad de tarjetas de crédito

Si decides obligar a utilizar la tarjeta de crédito personalizada de tu organización en las compras, queremos que sea con seguridad. Así es como lo gestionamos.

• La información de la tarjeta se almacena en un formato de token que está vinculado al perfil del cliente en Expedia. Nunca se almacena sin cifrar.
• Ningún ser humano tiene acceso a los datos de tarjetas cifrados, y solo se descifran con las credenciales de IAM seguras.
• Cuando se precarga una tarjeta en la página de pago, solo se muestra la descripción de la tarjeta, pero no el número.
• El cliente debe introducir el CVV de la tarjeta para completar la reserva con la tarjeta almacenada.

Requisitos de configuración

Además de los requisitos de configuración de la implementación estándar, cuando introduzcas tu tarjeta de crédito tendremos que añadir lo siguiente:

• Un punto de conexión para utilizar con el parámetro AuthnRequest.
• Tu clave pública para la verificación de firma.

Utilizaremos la clave privada de Expedia para firmar la carga AuthnRequest y nuestra clave pública para que valides la firma.

Detalles de carga

Junto con los atributos descritos en la implementación estándar, cuando un cliente inicia sesión en tu sitio web, el SSO de tarjeta de crédito inicia el envío de dos parámetros de transacción al punto de conexión seguro de SSO de Expedia:

• API de información del usuario: carga de respuesta codificada y firmada con afirmaciones firmadas y cifradas.
• RelayState: un enlace profundo a la URL de la página de destino.

La carga también incluirá los siguientes datos de la tarjeta de crédito: