OpenID Connect SSO 개요

OpenID Connect(OIDC)는 주요 기술 회사에서 채택한 OAuth 2.0 기반 인증 프로토콜입니다.

>> OIDC에 대해 더 알아보기

기본 SSO

선택한 기능에 관계없이 기본 SSO의 설정 요구 사항은 동일합니다. 로열티 또는 신용카드 구현을 추가하려면 추가 정보가 필요합니다.

설정 요구 사항

템플릿 사이트에 대한 OIDC SSO 액세스를 올바르게 설정하려면 다음과 같이 몇 가지 사항이 필요합니다.

• API(인증, 토큰, userProfile, JWKS)
• ClientId
• 클라이언트 암호
• ResponseMode
• isNonceEnabled
• customerDetailsAPIKey(사용 가능한 경우)

인증 흐름

엔드포인트 승인

GET /authorize 엔드포인트는 인증 및 승인에 사용됩니다. 사용자가 로그인하면 인증 부여 또는 인증 코드를 반환합니다. 이는 사용자를 다른 사이트로 리디렉션하여 인증을 위해 로그인 정보를 입력하도록 유도하는 브라우저 리디렉션입니다.

요청 매개변수

응답 매개변수

승인 URL 예시

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=openid email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

예시 콜백 URL

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

토큰 엔드포인트

POST /token엔드포인트는 인증 그랜트 또는 코드를 제시하여 액세스 토큰과 ID 토큰을 획득하는 데 사용되는 백엔드 API 호출입니다.

요청 매개변수

요청 헤더

응답 매개변수

ID_token

ID_token은 클레임이라는 인증 정보가 포함된 JSON 웹 토큰(JWT)입니다. Expedia 템플릿 솔루션은 아래 표와 같이 header, payload, signature 클레임을 사용합니다.

헤더 클레임

페이로드 클레임

서명 클레임

서명 검증: 해당 JWKS endpoint 및 알고리즘에 해당하는 키( client_id 를 통해 검색됨)를 사용하여 서명을 검증합니다.

토큰 예시 CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

토큰 응답 예시

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6.IllEQnJQdlllYlRwa1laODZoaGk1MkFDVX.d3QV9SUzI1NiJ9",
    "token_type": "Bearer",
    "expires_in": 1799
}

사용자 정보 엔드포인트

GET /userinfo엔드포인트는 제공된 액세스 토큰을 기반으로 인증된 사용자에 대한 클레임을 반환하는 백엔드 API 호출입니다. 이 함수는 사용자 프로필 데이터를 반환하며, 이 데이터는 사이트의 계정 헤더에 고객 이름을 표시하는 데 사용됩니다. 이를 통해 프로그램 계정을 경유하여 로열티 등급 정보를 불러올 수 있습니다.

참고: 응답에 필수 매개변수가 포함되지 않으면 사이트의 고객 경험에 문제가 발생할 수 있습니다. 예를 들어, 템플릿 사이트에는 고객 이름이 표시되지 않으며, 익스피디아 측에서 로열티 프로그램 가입과 연동하는 데 필요한 프로그램 계정 정보도 누락될 것입니다.

요청 헤더

응답

사용자 정보 CURL 예시

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

사용자 정보 응답 예시

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

로열티 추가

템플릿 사이트의 일부로, 고객이 여행 상품을 구매할 때 로열티 포인트를 적립할 수 있는 기능을 포함할 수 있습니다. 원하신다면, 귀사의 템플릿을 통해 고객이 적립한 로열티 포인트를 사용하여 여행 상품을 구매할 수 있도록 설정할 수도 있습니다.

>> 로열티 포인트에 대해 자세히 알아보기

표준 구현과 동일한 설정 요구 사항이 적용되며, 여러 가지 값도 마찬가지입니다. 다르게 적용되는 값만 여기에 포함되어 있습니다.

표준 user information 외에도, 로열티 프로그램 설정에는 다음 값들이 포함됩니다.

programAccount

금액

결제 카드 제한

여행객들이 예약 시 귀사의 신용카드를 반드시 사용하도록 귀사의 사이트를 설정해 드릴 수 있습니다. 이는 선택 사항입니다. 모든 템플릿 솔루션은 모든 주요 신용카드나 직불카드, 그리고 (미국의 경우) PayPal을 허용할 수 있습니다.

신용카드를 안전하게 저장

조직의 맞춤형 신용카드를 사용하여 구매하도록 선택하는 경우 안전하게 사용할 수 있습니다. 이를 처리하는 방법은 다음과 같습니다.

• 카드 정보는 고객의 Expedia 프로필에 연결된 토큰화된 형태로 저장됩니다. 암호화되지 않은 상태로 저장되는 경우는 없습니다.
• 암호화되지 않은 카드 데이터에 누구도 액세스할 수 없으며, 암호 해독은 안전한 IAM 자격 증명을 사용해서만 수행됩니다.
• 카드가 결제 페이지에 미리 로드되어 있는 경우 카드 번호가 아닌 카드 설명만 표시됩니다.
• 고객은 저장된 카드로 예약을 완료하려면 카드의 CVC를 입력해야 합니다.

설정 요구 사항

표준 구현의 설정 요구 사항 외에도 신용카드를 추가하려면 다음이 필요합니다.

• AuthnRequest 매개변수에 사용할 엔드포인트
• 서명 인증을 위한 공개 키

Expedia의 개인 키를 사용하여 AuthnRequest 페이로드에 서명하고 공개 키를 사용하여 파트너사에 서명 검증을 제공합니다.

페이로드 세부 정보

표준 구현에 설명된 속성과 함께 고객이 사이트에 로그인하면 신용카드 SSO가 두 가지 거래 매개변수를 안전한 Expedia SSO 엔드포인트로 전송하기 시작합니다.

• 사용자 정보 API: 서명 및 암호화된 어설션이 포함된 인코딩 및 서명된 응답 페이로드입니다.
• RelayState: 랜딩 페이지 URL에 대한 딥 링크입니다.

>> 사용자 정보 API에 대해 자세히 알아보기

페이로드에는 다음과 같은 신용카드 정보도 포함됩니다.

침묵 sign-in

' sign-in '를 'Silent'로 설정하면 ID 제공자와의 유효한 세션이 이미 존재할 때 자동 인증이 활성화됩니다. 사용자가 다른 브라우저 탭이나 애플리케이션에서 인증된 상태라면, 기존 세션이 재사용되어 자격 증명을 입력하라는 메시지가 표시되지 않고 자동으로 로그인됩니다.

이 기능은 logged-in 의 상태를 유지하기 위해 브라우저 쿠키를 관리하는 방식에 의존합니다. 표준 로그인 및 SSO 흐름 모두에 동일한 인증 엔드포인트를 사용합니다. 활성 세션이 감지되면, 재인증 절차 없이 요청이 지정된 SSO 리디렉션 URL로 리디렉션됩니다.

cookie-based 의 세션 지속성 문제로 인해, SSO는 EU 일반 데이터 보호 규정(GDPR) 준수 요건의 적용을 받지 않는 판매 지점에서만 활성화할 수 있습니다. SSO 흐름을 활성화하려면 신원 제공자 설정에서 당사의 리디렉션 URL을 구성해야 합니다. 익스피디아는 통합 과정에서 리디렉션 URL을 제공할 예정입니다.

네트워크 허용 목록

이 목록은 템플릿 사이트와 익스피디아 환경 간의 안전한 통신을 위한 요구 사항을 정의합니다. AWS 아웃바운드 IP 범위와 함께, 로컬 또는 lower-environment 테스트에 사용되는 IP 주소를 제공해 드리겠습니다. 익스피디아에서 들어오는 트래픽이 차단되지 않도록 하려면 이 IP 주소들을 허용 목록에 추가해야 합니다.

또한 당사에서 해당 IP 주소들을 허용 목록에 추가할 수 있도록 귀사의 아웃바운드 IP 주소를 당사에 알려주셔야 합니다.

참고: 이 IP 주소들이 (양쪽 중 한쪽 또는 양쪽 모두의) 허용 목록에 추가되지 않으면, 발신 및 수신 SSO 호출 모두에서 연결 문제가 발생할 수 있습니다.

익스피디아 엔드포인트

인증 호출을 활성화하려면 신원 제공자에서 다음 값을 사용하여 redirect_uri 를 구성해야 합니다:

• {WLTP domain}/sso/auth: 로그인 흐름에서 인증 호출 후 SSO 리디렉션 엔드포인트로 전송
• {WLTP domain}/validateCurrentSession: 무표시 sign-in 흐름에서 인증 호출 후 SSO 리디렉션 엔드포인트

참고: 익스피디아는 세션 시간 제한을 기본적으로 60분으로 설정해 두었습니다. 60분이 지나면 토큰을 갱신해야 합니다.