PKCE 흐름을 사용한 Prestashop OAuth Single Sign-On | Prestashop PingIdentity OAuth SSO 로그인

Prestashop은 사용자가 자신의 제품을 만들고 판매하기 위한 전자상거래 플랫폼을 구축할 수 있는 온라인 상점 구축 시스템입니다. 여기에는 매장 주변 커뮤니티 구축을 위한 PayPalTM, Facebook 및 소셜 네트워크 통합과 통합된 간편한 체크아웃 및 결제 시스템과 매장의 일일 관리를 단순화하기 위한 관리가 포함된 모듈이라는 여러 기능이 내장되어 있습니다.

PingIdentity는 다양한 소프트웨어에서 사용자 인증 및 사용자 권한 부여를 처리하고 관리할 수 있는 글로벌 ID 및 액세스 관리 제공업체입니다. 두 개의 호환 엔터티 간의 SSO(Single Sign-On)를 안전하게 촉진하는 SAML 2.0 및 OAuth 2.0과 같은 널리 사용되는 인증 및 권한 부여 프로토콜의 사용을 활용합니다. PingIdentity는 직원 관리, 직원 건강 관리 등과 같은 다양한 기업 그룹을 위한 여러 다른 ID 플랫폼을 구축하는 데에도 사용할 수 있습니다. SSO 프로토콜 중 하나를 사용하여 SSO를 촉진함으로써 PingIdentity 자체와 다른 애플리케이션을 기반으로 구축된 애플리케이션 간의 교차 액세스를 가능하게 합니다. 타사 애플리케이션/웹사이트.

시나리오

귀사는 PingIdentity 기반의 직원 포털과 직원들이 직원 관리 포털에서 인증을 완료한 후 접근할 수 있는 PrestaShop 스토어를 운영하고 있습니다. 이러한 인증 프로세스를 간소화하기 위해 OAuth 프로토콜을 사용하여 직원들이 PrestaShop에 SSO(Single Sign-On)하도록 하려고 합니다. 그러나 기본적으로 OAuth 인증 코드 부여 방식은 사용자의 클라이언트 시크릿이 요청 URL에 노출되도록 허용합니다. 따라서 보다 안전한 방식으로 클라이언트 시크릿이 요청 URL에 노출되지 않도록 PKCE(Proof Key for Code Exchange) 인증 코드 부여 방식을 사용하여 SSO를 구현하고자 합니다.

요구조건 니즈

PingIdentity는 모든 직원 자격 증명과 세부 정보가 존재하는 직원 포털을 구축하는 데 사용되며, 여기에서 모든 사용자에게 인증 액세스가 부여됩니다.

Prestashop은 승인된 사용자만 매장에 액세스할 수 있는 서비스 제공업체로 설정 및 구성됩니다.

관련 구성 요소

• OAuth 클라이언트: 모든 직원 포털이 구축된 PingIdentity는 모든 사용자 ID를 여기에서 가져옵니다.
• OAuth 서버: 인증된 사용자가 서비스에 액세스할 수 있는 Prestashop OAuth 클라이언트 플러그인인 Prestashop이 여기에 설치됩니다.

플러그인을 받으시려면 여기를 클릭하여 문의해 주세요.

흐름도

해법

1. PKCE 부여 흐름

• PKCE는 코드 교환용 증명 키(Proof Key for Code Exchange)를 나타냅니다. 이는 공개 클라이언트에서 OAuth SSO를 활성화하는 데 가장 잘 사용되는 인증 코드 부여를 기반으로 구축된 부여 흐름입니다.
• PKCE는 클라이언트/앱이 흐름 시작 부분에서 코드 검증자(Code Verifier)라는 임의의 값을 생성하고 나중에 이를 해싱하여 코드 챌린지(Code Challenge)라는 것을 생성하도록 하는 방식으로 작동합니다.
• 기존 OAuth 흐름에서 고정된 클라이언트 암호 대신 사용되는 이 코드 챌린지는 나중에 확인을 위해 해시된 값이 저장되는 인증 서버에 대한 요청에 대한 쿼리 문자열에 포함되며, 사용자가 인증한 후 리디렉션됩니다. 인증 코드를 사용하여 앱으로 돌아갑니다.
• 앱은 코드를 토큰으로 교환하도록 요청하지만 고정된 비밀 대신 코드 검증기를 보냅니다. 이제 Authorization Server는 Code Verifier를 해시하고 이를 이전에 저장한 해시된 값과 비교할 수 있습니다.
• 해시된 값이 일치한다고 가정하면 권한 부여 서버는 토큰을 반환합니다.

2. SSO에 PKCE 사용

• 위에 설명된 PKCE 흐름을 참조하면 직원이 Prestashop 스토어에 액세스하려고 하면 사용자는 OAuth 클라이언트로 Prestashop으로 리디렉션되어 코드 챌린지 암호화 방식으로 생성된 무작위 사용 코드 검증기.
• 그런 다음 플러그인은 다음을 통해 사용자를 리디렉션합니다. 인증 코드 요청 사용자에게 여기에 로그인하라는 코드 질문과 함께 직원 포털로 연결됩니다. 직원 포털은 코드 챌린지 저장 나중에 확인하기 위해 여기에 있습니다.
• 기존 OAuth 인증 코드 부여 흐름에서는 인증 코드 요청(또는 요청 URL)에 클라이언트 비밀번호가 포함되지만 PKCE 흐름에서는 이 클라이언트 비밀번호는 코드 챌린지로 대체됩니다. 따라서 거래가 훨씬 더 안전해집니다.
• 여기에서 사용자가 성공적으로 인증되면 직원 포털은 인증 코드와 함께 사용자를 플러그인으로 다시 리디렉션합니다. 이것 인증 코드 한 번의 거래에만 사용할 수 있습니다.
• 그런 다음 플러그인은 이전에 생성된 코드 검증기와 인증 코드를 직원 포털로 보내며, 여기서 이전에 저장된 코드 문제와 코드 검증기가 검증됩니다.
• 검증 후 코드 검증기와 코드 챌린지의 값이 일치하면 직원 포털에서 ID 토큰 그리고 필요한 액세스 토큰 사용자의 접근 데이터를 요청할 수 있는 플러그인으로 돌아갑니다.
• 그러면 플러그인이 요청된 데이터로 응답하고 사용자는 Prestashop 스토어에 액세스할 수 있습니다.

추가 자료

• 프레스타샵에 로그인하세요
• Prestashop OAuth SSO 로그인
• Prestashop SAML SSO 로그인
• 자주 묻는 질문(FAQ)