Información general sobre el SSO de OpenID Connect

OpenID Connect (OIDC) es un protocolo de autenticación basado en OAuth 2.0 que han adoptado las principales empresas tecnológicas.

Más información sobre OIDC

SSO básico

Independientemente de las funciones que hayas seleccionado, los requisitos de configuración del SSO básico son los mismos. Para añadir implementaciones de fidelidad o tarjetas de crédito, se pedirá más información.

Requisitos de configuración

Para configurar correctamente el acceso SSO de OIDC a tu sitio web creado a partir de una plantilla, necesitaremos varios datos, como los siguientes:

• APIs (autorizar, token, userProfile, JWKS)
• ID de cliente
• Secreto de cliente
• ResponseMode
• isNounceEnabled
• customerDetailsAPIKey (si está disponible)

Flujos de autorización

Autorizar punto final

El punto de conexión GET /authorize se utiliza para la autenticación y la autorización. Devuelve una concesión o código de autorización una vez que el usuario se ha conectado. Es una redirección del navegador que te dirige a enviar tus credenciales para autenticarte.

Parámetros de solicitud

Parámetros de respuesta

Ejemplo de URL de autorización

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=openid email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

Ejemplo de URL de devolución de llamada

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

Punto final del token

El punto final POST /tokenes una llamada a la API backend que se utiliza para obtener un token de acceso y un token de identificación presentando una concesión o código de autorización.

Parámetros de solicitud

Encabezados de solicitud

Parámetros de respuesta

ID_token

ID_token es un token web JSON (JWT) que incluye fragmentos de información de autenticación llamados reclamaciones. Las soluciones de plantilla de Expedia utilizan las reclamaciones header, payload y signature com en la tabla siguiente.

Reclamaciones de encabezado

Reclamaciones de carga

Reclamaciones de firma

Validación de la firma: La firma se validará con la clave adecuada (obtenida mediante JWKS endpoint) para ese client_idy algoritmo.

Muestra de token CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

Ejemplo de respuesta de token

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6.IllEQnJQdlllYlRwa1laODZoaGk1MkFDVX.d3QV9SUzI1NiJ9",
    "token_type": "Bearer",
    "expires_in": 1799
}

Punto final Userinfo

El punto final GET /userinfoes una llamada a la API backend que devuelve reclamaciones sobre el usuario autenticado basándose en el token de acceso proporcionado. Devuelve los datos del perfil del usuario, que se utilizan para incluir el nombre del cliente en la cabecera de la cuenta del sitio, que luego puede cargar la información del nivel de fidelización a través de la cuenta del programa.

Nota: Si no se proporcionan parámetros obligatorios en la respuesta, se producirán problemas con la experiencia del cliente en el sitio. Por ejemplo, el nombre del cliente no se mostrará en el sitio de la plantilla, y faltará la información de la cuenta del programa necesaria para la conexión con la inscripción de fidelización en el extremo Expedia's.

Encabezados de solicitud

Respuesta

Ejemplo de Userinfo CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

Ejemplo de respuesta de Userinfo

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

Añadir programa de fidelidad

Como parte de tu plantilla de sitio web, puedes incluir la posibilidad de que los clientes ganen puntos de fidelidad en sus compras de viajes. Si lo deseas, tu plantilla también puede permitir a los clientes utilizar sus puntos de fidelidad acumulados para comprar viajes.

Se aplican los mismos requisitos de configuración que en la implementación estándar, así como muchos de los valores. Aquí solo se incluyen los que son diferentes.

Además del estándar user information, la configuración del programa de fidelización incluirá los siguientes valores.

programAccount

Importe

Restringir tarjeta de pago

Podemos configurar tu sitio para que los viajeros deban utilizar la tarjeta de crédito de tu organización para reservar. Es opcional, ya que todas las soluciones de plantilla pueden aceptar cualquier tarjeta de crédito o débito de las entidades principales y (en EE. UU.) PayPal.

Almacenamiento y seguridad de tarjetas de crédito

Si decides obligar a utilizar la tarjeta de crédito personalizada de tu organización en las compras, queremos que sea con seguridad. Así es como lo gestionamos.

• La información de la tarjeta se almacena en un formato de token que está vinculado al perfil del cliente en Expedia. Nunca se almacena sin cifrar.
• Ningún ser humano tiene acceso a los datos de tarjetas cifrados, y solo se descifran con las credenciales de IAM seguras.
• Cuando se precarga una tarjeta en la página de pago, solo se muestra la descripción de la tarjeta, pero no el número.
• El cliente debe introducir el CVV de la tarjeta para completar la reserva con la tarjeta almacenada.

Requisitos de configuración

Además de los requisitos de configuración de la implementación estándar, cuando introduzcas tu tarjeta de crédito tendremos que añadir lo siguiente:

• Un punto de conexión para utilizar con el parámetro AuthnRequest.
• Tu clave pública para la verificación de firma.

Utilizaremos la clave privada de Expedia para firmar la carga AuthnRequest y nuestra clave pública para que valides la firma.

Detalles de carga

Junto con los atributos descritos en la implementación estándar, cuando un cliente inicia sesión en tu sitio web, el SSO de tarjeta de crédito inicia el envío de dos parámetros de transacción al punto de conexión seguro de SSO de Expedia:

• API de información del usuario: carga de respuesta codificada y firmada con afirmaciones firmadas y cifradas.
• RelayState: un enlace profundo a la URL de la página de destino.

La carga también incluirá los siguientes datos de la tarjeta de crédito:

En silencio sign-in

Silencioso sign-in permite la autenticación automática cuando ya existe una sesión válida con el proveedor de identidad. Si el usuario se autentica en otra pestaña del navegador o aplicación, se reutilizará la sesión existente y el usuario iniciará la sesión sin que se le pida que introduzca sus credenciales.

Esta función se basa en el mantenimiento de una cookie del navegador para conservar el estado de logged-in. Utiliza el mismo punto final de autorización tanto para el inicio de sesión estándar como para los flujos SSO. Cuando se detecta una sesión activa, la petición se redirige a una URL de redirección SSO designada sin activar la reautenticación.

El SSO sólo puede habilitarse para puntos de venta que no estén sujetos a los requisitos de cumplimiento del Reglamento General de Protección de Datos (RGPD) de la UE, debido a la persistencia de sesión de cookie-based. Tendrás que configurar nuestra URL de redireccionamiento en los ajustes de tu proveedor de identidad para habilitar el flujo SSO. Expedia proporcionará la URL de redirección durante la integración.

Lista de redes permitidas

Esta lista define los requisitos para una comunicación segura entre tu sitio de plantillas y los entornos Expedia. Proporcionaremos rangos de IP de salida de AWS, junto con direcciones IP utilizadas para pruebas locales o en lower-environment. Debes añadir estas IP a la lista de permitidas para asegurarte de que no se bloquea el tráfico entrante desde Expedia.

También tendrás que compartir con nosotros las direcciones IP salientes de tu organización para que podamos añadirlas a la lista de permitidas.

Nota: Si estas IP no se añaden a las listas de permitidas (en uno o ambos lados), habrá problemas de conectividad en las llamadas SSO tanto salientes como entrantes.

Expedia puntos finales

Tendrás que configurar el redirect_uride tu proveedor de identidad con estos valores para habilitar las llamadas de autorización:

• {WLTP domain}/sso/auth: Punto final de redirección SSO posterior a la llamada de autorización para el flujo de inicio de sesión
• {WLTP domain}/validateCurrentSession: Punto final de redirección SSO posterior a la llamada de autorización para el flujo silencioso sign-in

Nota: Expedia ha establecido un tiempo máximo de espera de sesión estándar de 60 minutos. Después de 60 minutos, tendrás que actualizar el token.