OpenID Connect (OIDC) nedir?

Kısa cevap

OpenID Connect (OIDC), OAuth 2.0'ın üzerine identity layer ekleyen standarttır (OpenID Connect Core 1.0). OAuth 2.0 bir uygulamaya erişim yetkisi verirken OIDC ayrıca kullanıcının kim olduğunu sağlayıcının imzaladığı JWT biçimindeki bir ID token ile bildirir; böylece kimlik bilgisinin gerçekten sağlayıcıdan geldiği doğrulanabilir. TR7 AGS'de OpenID Connect türündeki Authentication Provider kimliği bu token'dan okur: imzayı sağlayıcının JWKS URI adresindeki anahtarlarla doğrular ve replay saldırılarına karşı nonce değerini denetler. İki denetim de varsayılan olarak açıktır; Skip Signature Verification yalnızca test için, Skip Nonce Validation nonce değerini geri döndürmeyen sağlayıcılar için açılır. Google, Microsoft, Apple, Keycloak ve Okta gibi hazır sağlayıcılar bu türle kullanılır; Apple yalnızca bu türde listelenir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
AGS → Authentication → Authentication Providers	Provider Type = OpenID Connect; OAuth Provider	Kimliğin imzalı ID token ile alınması
Aynı form	JWKS URI, Skip Signature Verification (varsayılan kapalı), Skip Nonce Validation (varsayılan kapalı)	ID token imzası ve nonce denetimi
Aynı form (Custom Provider)	Fetch Endpoints from Issuer → Issuer URL	Endpoint'lerin ve JWKS URI'nin discovery document'tan doldurulması
Aynı form	Client ID, Client Secret, OAuth Scopes, Redirect URI	OAuth2 türüyle ortak uygulama kaydı bilgileri
Aynı form	Custom User Attribute Mapping; JSONata bağlamı Identity Claims (OAuth2 / OIDC)	Token claim'lerinin AGS kullanıcı alanlarına eşlenmesi

OAuth 2.0 ile İlişkisi

	OAuth2 türü	OpenID Connect türü
Amaç	Erişim yetkisi; kimlik user info yanıtından okunur	Kimlik ve erişim yetkisi
Kimlik nereden gelir	User info endpoint	İmzası doğrulanan ID token; user info yanıtıyla birleştirilir
Ek denetim	-	JWKS ile imza, nonce
Formu	Ortak	Ortak, ek olarak JWKS URI ve iki Skip seçeneği

Sık Karıştırılan Noktalar

• "OIDC, OAuth'un yerini alan ayrı bir protokoldür." OIDC OAuth 2.0'ın üzerine kuruludur; akış aynıdır, openid scope'u ile ID token eklenir.
• "İmza doğrulamasını kapatmak sorun çıkarmaz." Skip Signature Verification açılırsa kimliğin gerçekten sağlayıcıdan geldiği doğrulanmaz; bu seçenek yalnızca test içindir.
• "Hazır sağlayıcıda JWKS URI boşsa imza doğrulanmaz." Hazır sağlayıcılarda anahtar adresi TR7'nin kataloğundan gelir; Custom Provider'da alan boş bırakılırsa adres issuer'dan türetilir, bu yüzden alanın Fetch Endpoints from Issuer ile doldurulması önerilir.

Dokümantasyonda nasıl yapılır

• OpenID Connect · OpenID Connect Nedir?
• OpenID Connect · JWKS URI
• OpenID Connect · Fetch Endpoints from Issuer

İlgili sorular

• OAuth 2.0 nedir?
• Access token ile ID token arasındaki fark nedir?
• JWT (JSON Web Token) nedir; TR7'de nerede kullanılır?
• Issuer nedir; OIDC discovery document (.well-known/openid-configuration) ne işe yarar?