при использовании OIDC? То есть чаще всего нужно просто прокинуть токен пользователя - но вне контекста запроса если требуется взаимодействие, можно ли тоже применять OIDC для некоторого аналога сервисных токенов, или же придется каждому сервису самому создавать JWT и при аутентификации проверять, кем выпущен токен, чтобы разделять проверку сервисных токенов и openid'шных?
Ну тут собственно два пути, кмк. Первый - использовать idToken для аутентификации, либо с помощью него свои сессионные токены создавать через /user-info. Зависит от того, кто владеет identity provider’ом, если он внешний, то, вероятно, второй подход будет лучше.
Я, наверное, криво объяснил. idToken есть для пользователя - а если мне нужно, ну например, по расписанию какой-то запрос делать, вне контекста определенного пользователя?
в теории ты можешь получить on-behalf offline_access доступ, что даст твоему беку рефреш токен на какое-то время, но он когда-то истечёт. Далее эти токены надо хранить, аудит заебёт (если он есть). Сделать это хорошо крайне сложно если тебе надо постоянно теребонькать внешнюю систему без интерактивной реаутентификации юзером
Обсуждают сегодня