This is the Trace Id: 5f3c51f568ad0441ee61bfd5e0431fd7
Põhisisu juurde Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview Microsoft Security Copilot Microsoft Sentinel Kuva kõik tooted Tehisintellektipõhine küberturve Pilvepõhine turve Andmete turvalisus ja juhtimine Identiteet ja juurdepääs võrgule Privaatsus ja riskihaldus Turvalisus tehisintellekti jaoks Väikese ja keskmise suurusega ettevõte Ühtne SecOps Täisusaldamatus Hinnakiri Teenused Partnerid Miks valida Microsofti turbeteenus Küberturve teadlikkus Kliendilood Sissejuhatus turbesse Toote prooviversioonid Valdkonnatunnustus Microsoft Security Insider Microsofti digitaalse kaitse aruanne Küberturbe reageerimiskeskus Microsofti turbeajaveeb Microsofti turbeüritused Microsoft Tech Community Dokumentatsioon Tehniline sisuteek Koolitus ja serdid Microsofti pilvteenuste vastavusprogramm Microsofti usalduskeskus Teenuste usaldusväärsuse portaal Microsofti turvalise tuleviku algatus Ärilahenduste keskus Võtke ühendust müügiosakonnaga Tasuta prooviversiooni kasutamise alustamine Microsofti turve Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Hübriidreaalsus Microsoft HoloLens Microsoft Viva Kvantarvuti Haridus Autotööstus Finantsteenused Riigiasutused Tervishoid Tootmine Jaemüük Partneri otsimine Saage partneriks Partnervõrgustik Microsoft Marketplace Tarkvaraettevõtted Ajaveeb Microsoft Advertising Arenduskeskus Dokumentatsioon Sündmused Litsentseerimine Microsoft Learn Microsoft Research Kuva saidikaart
Tööstuskeskkonnas töötav töötaja kasutab teabe läbivaatamiseks tahvelarvutit

Mis on OIDC?

Siit leiate teavet OpenID Connecti (OIDC) kohta – see on autentimisprotokoll, mis kontrollib kasutajaidentiteete, kui need digitaalsetele ressurssidele juurde pääsemiseks sisse logivad.
Lisateave Microsoft Entra ID kohta

OpenID Connecti (OIDC) definitsioon

OpenID Connect (OIDC) on identiteedi autentimise protokoll, mis on avatud autoriseerimise (OAuth) 2.0 laiendus, et ühtlustada kasutajate autentimise ja autoriseerimise protsessi, kui nad logivad sisse digitaalsetele teenustele juurdepääsuks. OIDC pakub autentimist, mis tähendab kontrollimist, kas kasutajad on need, kellena nad end esitlevad. OAuth 2.0 määrab ära, millistele süsteemidele neil kasutajatel on juurdepääs. OAuth 2.0 võimaldab tavaliselt kahel seostamata rakendusel jagada teavet ilma kasutajaandmeid ohustamata. Näiteks kasutavad paljud inimesed oma meili- või sotsiaalmeediakontosid kolmanda osapoole saidile sisselogimiseks, selle asemel et luua uus kasutajanimi ja parool. OIDC-ga pakutakse ka ühekordset sisselogimist. Organisatsioonid saavad kasutada turvalist kasutaja- ja juurdepääsuhalduse (IAM) süsteemi, näiteks lahendust Microsoft Entra ID (endine Azure Active Directory) identiteetide peamise autentikaatorina, ja seejärel kasutada OIDC-d selle autentimise edastamiseks muudele rakendustele. Nii peavad kasutajad mitmele rakendusele juurdepääsemiseks ühe kasutajanime ja parooliga vaid ühe korra sisse logima.

OIDC põhikomponendid

OIDC-l on kuus põhikomponenti.
 
  • Autentimine on protsess, millega kontrollitakse, kas kasutaja on see, kellena ta end esitleb.
  • Klient on tarkvara (nt veebisait või rakendus), mis esitab taotlused tõendite saamiseks, mida kasutatakse kasutaja autentimiseks või ressursile juurdepääsuks.
  • Vahendavad osapooled on rakendused, mis kasutavad kasutajate autentimiseks OpenID pakkujaid.
  • identiteeditõendid sisaldavad identiteediandmeid, sh autentimisprotsessi tulemust, kasutaja identifikaatorit ning teavet selle kohta, kuidas ja millal kasutaja autenditakse.
  • OpenID pakkujad on rakendused, mille jaoks kasutajal juba on konto. Nende roll OIDC-s on kasutaja autentimine ja selle teabe edastamine usaldusväärsele osapoolele.
  • Kasutajad on inimesed või teenused, kes soovivad pääseda juurde rakendusele ilma uut kontot loomata või kasutajanime ja parooli esitamata.

Kuidas OIDC autentimine töötab

OIDC autentimine võimaldab kasutajatel ühte rakendusse sisse logida ja saada juurdepääsu teisele rakendusele. Näiteks kui kasutaja soovib luua kontot uudistesaidil, võib tal olla võimalus konto loomiseks uue konto loomise asemel oma Facebooki kontot kasutada. Kui ta valib Facebooki, kasutab ta OIDC autentimist. Facebook, mida nimetatakse OpenID pakkujaks, töötleb autentimistoimingut ja hangib kasutaja nõusoleku edastada uudistesaidile (mis on vahendav osapool) konkreetne teave (nt kasutajaprofiil).

ID-tokenid

OpenID pakkuja kasutab vahendavale osapoolele autentimistulemuste ja asjakohase teabe edastamiseks ID-tõendeid. Saadetavate andmete tüübi näited on näiteks ID, meiliaadress ja nimi.

Ulatused

Ulatustega määratakse kindlaks, mida kasutaja saab juurdepääsuga teha. OIDC pakub standardulatusi, millega määratakse kindlaks näiteks see, millise osapoole jaoks luba loodi, millal luba loodi, millal luba aegub, ja kasutaja autentimiseks kasutatud krüptimistugevus.

Tüüpiline OIDC autentimisprotsess hõlmab järgmisi etappe.
 
  1. Kasutaja läheb rakendusse, mida soovib kasutada (vahendav osapool).
  2. Kasutaja sisestab oma kasutajanime ja parooli.
  3. Vahendav osapool saadab OpenID pakkujale taotluse.
  4. OpenID pakkuja valideerib kasutaja identimisteabe ja saab autoriseerimise.
  5. OpenID pakkuja saadab vahendavale osapoolele identiteeditõendi ja sageli pääsutõendi.
  6. Vahendav osapool saadab pääsutõendi kasutaja seadmesse.
  7. Kasutajale antakse juurdepääs pääsutõendis esitatud teabe ja vahendava osapoole põhjal. 

Mis on OIDC vood?

OIDC voogudega määratakse kindlaks, kuidas tõendeid taotletakse ja vahendavale osapoolele edastatakse. Mõned näited on järgmised.
 
  • OIDC autoriseerimisvood: OpenID pakkuja saadab vahendavale osapoolele kordumatu koodi. Seejärel saadab vahendav osapool kordumatu koodi tõendi vastu vahetamiseks OpenID pakkujale tagasi. Seda meetodit kasutatakse selleks, et OpenID pakkuja saaks vahendavat osapoolt enne tõendi saatmist kontrollida. Brauser ei näe selle meetodi korral tõendit, nii et see püsib turvalisena.
  • OIDC autoriseerimisvood PKCE laiendiga: see voog on muidu sama mis OIDC autoriseerimisvoog, kuid see kasutab koodivahetuse (PKCE) laiendi avalikku võtit side pidamiseks räsina. See vähendab võimalust, et keegi püüab tõendi kinni.
  • Kliendi identimisteave: see voog annab juurdepääsu veebi-API-dele rakenduse enda identiteedi abil. Seda kasutatakse tavaliselt serveritevahelise suhtluse ja automatiseeritud skriptide jaoks, mis ei nõua kasutajapoolset suhtlust.
  • Seadme kood: see voog võimaldab kasutajatel sisse logida ja kasutada veebi-API-sid Interneti-ühendusega seadmetes, millel pole brausereid või millel on kehvad klaviatuurivõimalused (nt nutiteler).
Lisavood (nt OIDC kaudne voog), mis on loodud brauseripõhiste rakenduste jaoks, pole soovitatavad, kuna need on turberiskid.



OIDC vs OAuth 2.0

OIDC on autentimise lisamiseks loodud OAuth 2.0 alusel. Esmalt töötati välja OAuth 2.0 protokoll ja seejärel lisati võimaluste täiustamiseks OIDC. Nende kahe erinevus seisneb selles, et OAuth 2.0 pakub autoriseerimist, OIDC aga autentimist. OAuth 2.0 võimaldab kasutajatel saada juurdepääsu vahendavale osapoolele oma konto kasutamisel OpenID pakkujaga, OIDC aga võimaldab OpenID pakkujal edastada kasutajaprofiili vahendavale osapoolele. OIDC abil saavad organisatsioonid pakkuda oma kasutajatele ühekordset sisselogimist.



OIDC autentimise eelised

Tänu nende kontode arvu vähendamisega, mida kasutajad rakendustele juurdepääsuks vajavad, pakub OIDC mitmeid eeliseid nii üksikisikutele kui ka organisatsioonidele.

Väiksem paroolivarguse oht

Kui inimestel on vaja tööks ja eraeluks vajalikele rakendustele juurdepääsuks mitut parooli, valivad nad sageli hõlpsalt meeldejäävaid paroole (nt Parool1234!) ja kasutavad sama parooli mitmel kontol. Seetõttu kasvab risk, et kurjategija suudab parooli ära arvata. Kui ta teab ühe konto parooli, võib ta saada juurdepääsu ka teistele kontodele. Kui vähendada meeldejäetavate paroolide arvu, on suurem võimalus, et kasutaja kasutab tugevamat ja turvalisemat parooli.

Paremad turbemeetmed

Tsentraliseerides autentimise ühes rakenduses, saavad organisatsioonid rakendada kaitsemeedet juurdepääsule mitmes rakenduses tugevate juurdepääsu reguleerimise vahenditega. OIDC toetab kahekordset ja mitmikautentimist, mis nõuavad kasutajatelt oma identiteedi kinnitamist, kasutades vähemalt kahte järgmistest:
 
  • Midagi, mida kasutaja teab, tavaliselt parool.
  • Midagi, mis neil on olemas, näiteks usaldusväärne seade või tõend, mida pole lihtne kopeerida. 
  • Midagi, mis kasutaja on, näiteks sõrmejälgede või näotuvastus.
Mitmikautentimine on tõestatud meetod kontode turberikkumiste vähendamiseks. Organisatsioonid saavad kasutada OIDC-d ka muude turbemeetmete rakendamiseks mitmes rakenduses, näiteks privilegeeritud juurdepääsu haldus, paroolikaitse, sisselogimisturve või identiteedikaitse.

Lihtsamad kasutusvõimalused

Päeva jooksul mitmesse kontosse sisselogimine võib olla aeganõudev ja kasutajatele tüütu. Kui nad parooli kaotavad või unustavad, võib selle lähtestamine tööviljakust veelgi vähendada. Ettevõtted, pakuvad oma töötajatele ühekordset sisselogimist OIDC abil, aitavad tagada, et töötajad pühendaksid rohkem aega tõhusale tööle, mitte rakendustele juurdepääsemisele. Organisatsioonid saavad suurendada ka tõenäosust, et kliendid tellivad ja kasutavad nende teenuseid, kui üksikisikutel lubatakse kasutada sisselogimiseks omaenda Microsofti, Facebooki või Google’i kontot.

Standardne autentimine

OIDC koostas OpenID Foundation, mis hõlmab suure profiiliga brände, nagu Microsoft ja Google. See on loodud koostalitletavana ja toetab paljusid platvorme ja teeke, sh iOS-i, Androidi, Microsoft Windowsi, ning suuri pilve- ja identiteedipakkujaid.

Sujuvam kasutajahaldus

Asutused pakuvad oma töötajatele ja partneritele ühekordset sisselogimist OIDC abil, võivad vähendada hallatavate identiteedihalduse lahenduste arvu. Nii on lihtsam õiguste muutmist jälgida ja administraatorid saavad rakendada juurdepääsupoliitikaid ja -reegleid rakendamiseks mitmes rakenduses ühe liidese kaudu. Ettevõtted, kes kasutavad inimestel oma rakendustesse OpenID pakkuja abil sisselogimise võimaldamiseks OIDC-d, vähendavad hallatavate identiteetide koguarvu.

OIDC näited ja kasutusjuhtumid

Paljud organisatsioonid kasutavad OIDC-d turvalise autentimise lubamiseks veebi- ja mobiilirakendustes. Järgnevalt on toodud mõned näited.
 
  • Kui kasutaja registreerib endale Spotify konto, pakutakse talle kolme valikut: registreerumine Facebooki kaudu, registreerumine Google’i kaudu või registreerumine meiliaadressiga. Kasutajad, kes valivad Facebooki või Google’i kaudu registreerumise, loovad konto OIDC abil. Ta suunatakse ümber valitud OpenID pakkujale (Google või Facebook) ja pärast sisselogimist saadab OpenID pakkuja Spotifyle profiili põhilised üksikasjad. Kasutaja ei pea Spotify jaoks uut kontot looma ja tema paroolid jäävad kaitstuks.
     
  • LinkedIn võimaldab kasutajatel luua konto ka oma Google’i konto abil, selle asemel et luua LinkedIni jaoks eraldi konto.
     
  • Ettevõte soovib pakkuda ühekordset sisselogimist töötajatele, kes vajavad töö tegemiseks juurdepääsu Microsoft Office 365-le, Salesforce’ile, Boxile ja Workdayle. Selle asemel, et nõuda töötajatelt eraldi konto loomist iga rakenduse jaoks, annab ettevõte OIDC abil juurdepääsu kõigile neljale rakendusele. Töötajad loovad ühe konto ja iga kord, kui nad sisse logivad, pääsevad nad juurde kõigile tööks vajaminevatele rakendustele.

OIDC juurutamine turvaliseks autentimiseks

OIDC pakub autentimisprotokolli, mis lihtsustab kasutajate jaoks sisselogimist ja täiustab turvet. See on suurepärane lahendus ettevõtetele, kes soovivad julgustada kliente teenuste kasutajaks registreeruma ilma vaevalise kontohalduseta. Nii saavad organisatsioonid pakkuda oma töötajatele ja teistele kasutajatele turvalist ühekordset sisselogimist mitmesse rakendusse. Organisatsioonid saavad kasutada identiteedi- ja juurdepääsulahendusi, mis toetavad OIDC-d, näiteks teenust Microsoft Entra, et hallata kõiki oma identiteete ja autentimise turbepoliitikaid ühes kohas.



Ressursid

Lisateave Microsofti turbeteenuse kohta

  1.
Mees ja naine istuvad laua taga, naine kirjutab raamatusse ja näha on sülearvutit.

Microsoft Entra ID

Pilvepõhise identiteedi- ja juurdepääsuhalduse lahenduse abil ühendate töötajad, kliendid ja partnerid nende rakenduste, seadmete ja andmetega.
Lisateave Microsoft Entra ID kohta
Laua taga istuv ja sülearvutit kasutav inimene.

Microsoft Entra ID-korraldus

Saate tagada automaatselt õigete inimeste jaoks õige juurdepääsu õigetele rakendustele ja teenustele.
Lisateave Microsoft Entra ID-korralduse kohta
Naine, kes vaatab oma mobiiltelefoni.

Microsoft Entra tõendatud ID

Saate pakkuda detsentraliseeritud identiteete avatud standarditel põhineva hallatava tõendatava identimisteabe teenuse abil.
Lisateave Microsoft Entra tõendatud ID kohta
Kolmest inimesest koosnev rühm valgusküllases kontoris, kes naeratavad ja on kaasatud, vaadates ühe inimese käes olevat sülearvutit.

Microsoft Entra talitlusüksuste ID-haldus

Hallake ja turvake rakendustele ja teenustele antud identiteete.
Lisateave Microsoft Entra talitlusüksuste ID-halduse kohta
Tagasi seotud toodete jaotise juurde
KKK

Korduma kippuvad küsimused

  • OIDC on identiteediautentimise protokoll, mis töötab OAuth 2.0-iga kasutajate autentimis- ja autoriseerimisprotsessi standardiseerimiseks digitaalteenustele juurdepääsu loomisel. OIDC pakub autentimist, mis tähendab kasutajate isiku kontrollimist. OAuth 2.0 määrab ära, millistele süsteemidele neil kasutajatel on juurdepääs. OIDC ja OAuth 2.0 võimaldavad tavaliselt kahel seostamata rakendusel jagada teavet ilma kasutajaandmeid ohustamata.
  • Nii OIDC kui ka turbedeklaratsioonide märgistuskeel (SAML) on identiteedi autentimise protokollid, mis võimaldavad kasutajatel turvaliselt ühe korra sisse logida ja pääseda juurde mitmele rakendusele. SAML on vanem protokoll, mis on laialdaselt kasutusel ühekordseks sisselogimiseks. See edastab andmeid XML-vormingus. OIDC on uuem protokoll, mis edastab kasutajaandmeid JSON-vormingus. OIDC on populaarsust kogumas, kuna seda on lihtsam juurutada kui SAML-i ja see töötab mobiilirakendustega paremini.
  • OIDC tähistab OpenID Connecti protokolli – see on identiteedi autentimise protokoll, mida kasutatakse kahe seostamata rakenduse lubamiseks, et jagada kasutajaprofiili teavet ilma kasutaja identimisteavet ohustamata.
  • OIDC on autentimise lisamiseks loodud OAuth 2.0 alusel. Esmalt töötati välja OAuth 2.0 protokoll ja seejärel lisati võimaluste täiustamiseks OIDC. Nende kahe erinevus seisneb selles, et OAuth 2.0 pakub autoriseerimist, OIDC aga autentimist. OAuth 2.0 võimaldab kasutajatel saada juurdepääsu vahendavale osapoolele oma konto kasutamisel OpenID pakkujaga, OIDC aga võimaldab OpenID pakkujal edastada kasutajaprofiili vahendavale osapoolele. Selle funktsiooni abil saavad organisatsioonid pakkuda oma kasutajatele ühekordset sisselogimist. OAuth 2.0 ja OIDC vood on sarnased, v.a selle poolest,et need kasutavad veidi erinevat terminoloogiat.

    Tavalises OAuth 2.0 voos on järgmised etapid.
     
    1. Kasutaja läheb rakendusse, millele soovib juurdepääsu (ressursiserver).
    2. Ressursiserver suunab kasutaja ümber rakendusse, kus tal on konto (klientrakendus).
    3. Kasutaja logib sisse klientrakenduse identimisteabega.
    4. Klientrakendus valideerib kasutaja juurdepääsu.
    5. Klientrakendus saadab ressursiserverisse pääsutõendi.
    6. Ressursiserver annab kasutajale juurdepääsu.
       
    Tavalises OIDC voos on järgmised etapid.
     
    1. Kasutaja läheb rakendusse, mida soovib kasutada (vahendav osapool).
    2. Kasutaja sisestab oma kasutajanime ja parooli.
    3. Vahendav osapool saadab OpenID pakkujale taotluse.
    4. OpenID pakkuja valideerib kasutaja identimisteabe ja saab autoriseerimise.
    5. OpenID pakkuja saadab vahendavale osapoolele identiteeditõendi ja sageli pääsutõendi.
    6. Vahendav osapool saadab pääsutõendi kasutaja seadmesse.
    7. Kasutajale antakse juurdepääs pääsutõendis esitatud teabe ja vahendava osapoole põhjal.
  • OpenID pakkuja kasutab vahendava osapoole rakendusele autentimistulemuste ja asjakohase teabe edastamiseks ID-tõendeid. Saadetavate andmete tüübi näited on näiteks ID, meiliaadress ja nimi.

Jälgige Microsofti turbeteenust

Copilot organisatsioonidele Copilot isiklikuks kasutuseks Microsoft 365 Windows 11 rakendused Konto profiil Allalaadimiskeskus Tagastused Tellimuse jälgimine Ringlussevõtt Commercial Warranties Microsoft Education Haridusseadmed Microsoft Teams haridusasutustele Microsoft 365 Education Office Education Haridustöötajate koolitus ja arendus Pakkumised õpilastele ja vanematele Azure õpilastele
Microsoft AI Microsofti turve Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teamsi jaoks Microsofti arendaja Microsoft Learn Tehisintellekti-turuplatsi rakenduste tugi Microsofti tehnoloogiakogukond Microsoft Marketplace Microsoft Power Platform Tarkvaraettevõtted Visual Studio Töökohad Teave Microsofti kohta Privaatsus Microsoftis Investorid
Eesti (Eesti) Tarbijaseisundi privaatsus Võtke Microsoftiga ühendust Privaatsus Halda küpsiseid Kasutustingimused Kaubamärgid Reklaamide kohta EU Compliance DoCs