Visão geral do SSO do OAuth 2.0

O OAuth 2.0 é uma estrutura de autorização que permite que aplicativos tenham acesso limitado a contas de usuários em um serviço HTTP. Ele funciona delegando a autenticação de usuário ao serviço que hospeda a conta de usuário e autorizando aplicativos de terceiros a acessar a conta de usuário. O OAuth 2.0 fornece fluxos de autorização a celulares ou tablets e aplicativos para desktop e web.

Saiba mais sobre o OAuth 2.0

SSO básico

Sejam quais forem as opções de recursos selecionadas, o SSO básico requer alguns dados específicos, em especial uma chave pública. Adicionar implementações de cartão de crédito ou programa de fidelidade exige mais informações.

Informações de configuração

Para configurar o acesso de SSO do OAuth 2.0 ao seu modelo de site, alguns elementos são necessários, incluindo:

• APIs (autorização, token, userProfile)
• ClientId
• Segredo do cliente
• ResponseMode
• isNonceEnabled
• customerDetailsAPIKey (se disponível)

Fluxos de autorização

Endpoint de autorização

O ponto de extremidade GET /authorize é usado para autenticação e autorização. Retorna uma autorização ou código assim que o usuário faz login. Trata-se de um redirecionamento do navegador que o direciona a enviar suas credenciais para autenticação.

Parâmetros de resposta

Exemplo de URL de autorização

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

URL de retorno de chamada de exemplo

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

Endpoint de token

O endpoint POST /tokené uma chamada de API de backend usada para obter um token de acesso e um token de ID, apresentando uma concessão ou código de autorização.

Parâmetros de solicitação

Cabeçalhos de solicitação

Propriedades de resposta

Token de exemplo CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

Exemplo de resposta do token

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "token_type": "Bearer",
    "expires_in": 1799
}

Endpoint de informações do usuário

O endpoint GET /userinfoé uma chamada de API de backend que retorna informações sobre o usuário autenticado com base no token de acesso fornecido. Retorna dados do perfil do usuário, que são usados ​​para incluir o nome do cliente no cabeçalho da conta do site, o que permite carregar informações sobre os níveis de fidelidade por meio da conta do programa.

Nota: Se os parâmetros obrigatórios não forem fornecidos na resposta, isso causará problemas com a experiência do cliente no site. Por exemplo, o nome do cliente não será exibido no site do modelo e as informações da conta do programa necessárias para conectar a inscrição no programa de fidelidade por parte da Expedia estarão ausentes.

Cabeçalhos de solicitação

Resposta

Exemplo de informações do usuário CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

Exemplo de resposta de informações do usuário

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

Inclusão de programas de fidelidade

Como parte do seu modelo de site, você pode incluir a possibilidade de os clientes ganharem pontos de fidelidade em suas compras de viagens. Se desejar, seu modelo também pode permitir que os clientes use seus pontos de fidelidade acumulados para comprar viagens.

Os mesmos requisitos de configuração da implementação padrão se aplicam, assim como muitos dos valores. Somente os que são diferentes estão incluídos aqui.

Além dos valores padrão user information, a configuração do programa de fidelidade incluirá os seguintes valores.

programAccount

Valor

Silencioso sign-in

O parâmetro silencioso sign-in permite a autenticação automática quando já existe uma sessão válida com o provedor de identidade. Se o usuário estiver autenticado em outra aba do navegador ou aplicativo, a sessão existente será reutilizada e o usuário fará login sem precisar inserir suas credenciais novamente.

Essa funcionalidade depende da manutenção de um cookie do navegador para preservar o estado logged-in. Ele utiliza o mesmo ponto de extremidade de autorização tanto para o login padrão quanto para os fluxos de SSO (Single Sign-On). Quando uma sessão ativa é detectada, a solicitação é redirecionada para um URL de redirecionamento SSO designado, sem acionar uma nova autenticação.

O SSO só pode ser ativado para pontos de venda que não estejam sujeitos aos requisitos de conformidade do Regulamento Geral de Proteção de Dados (RGPD) da UE, devido à persistência de sessão cookie-based. Você precisará configurar nosso URL de redirecionamento nas configurações do seu provedor de identidade para habilitar o fluxo de SSO. A Expedia fornecerá o URL de redirecionamento durante a integração.

Lista de permissões de rede

Esta lista define os requisitos para comunicação segura entre o seu site modelo e os ambientes da Expedia. Forneceremos intervalos de IP de saída da AWS, juntamente com os endereços IP usados ​​para testes locais ou lower-environment. Você precisa adicionar esses IPs à lista de permissões para garantir que o tráfego de entrada da Expedia não seja bloqueado.

Você também precisará compartilhar conosco os endereços IP de saída da sua organização para que possamos adicioná-los à lista de permissões em nosso sistema.

Nota: Se esses IPs não forem adicionados às listas de permissão (em um ou ambos os lados), haverá problemas de conectividade nas chamadas SSO de entrada e saída.

Pontos de extremidade da Expedia

Você precisará configurar o redirect_urino seu provedor de identidade com esses valores para habilitar chamadas de autorização:

• {WLTP domain}/sso/auth: Ponto de extremidade de redirecionamento SSO após a chamada de autorização para o fluxo de login
• {WLTP domain}/validateCurrentSession: Endpoint de redirecionamento SSO após a chamada de autorização para o fluxo silencioso sign-in

Nota: A Expedia definiu um tempo limite máximo padrão de sessão de 60 minutos. Após 60 minutos, você precisará atualizar o token.