OAuth 2.0 & OpenID Connect SSO

OAuth 2.0 Authorization Code Flow er den anbefalte og sikreste flyten for de fleste applikasjoner, inkludert webapper og single-page-applikasjoner (SPA-er). Den bruker PKCE (Proof Key for Code Exchange) for offentlige klienter for å hindre avlytting av autorisasjonskoden.

Best egnet for: Webapplikasjoner, SPA-er, mobilapper, tredjepartsintegrasjoner

Bruk refresh tokens til å hente nye access tokens uten at brukeren må logge inn på nytt. Refresh tokens er gyldige i 14 dager og kan roteres for å opprettholde sikkerheten.

Best egnet for: Langvarige økter, bakgrunnstjenester, tilgang uten nett

OAuth 2.0 Resource Owner Password Credentials-flyten støttes for bakoverkompatibilitet med eldre integrasjoner. Nye integrasjoner bør bruke Authorization Code Flow i stedet.

Best egnet for: Eldre applikasjoner, interne verktøy (anbefales ikke for ny utvikling)

GET /connect/authorize

Starter OAuth-autorisasjonsflyten. Sender brukeren videre for å logge inn hos sin identitetstilbyder (Microsoft, Google, eller e-post/passord).

Spørreparametere:

• client_id (påkrevd): Applikasjons-ID-en din
• redirect_uri (påkrevd): URL det skal viderekobles til etter autentisering
• response_type (påkrevd): Må være 'code'
• scope (påkrevd): Mellomromseparert liste over scopes (openid, email, profile, offline_access, roles)
• code_challenge (påkrevd for SPA): PKCE code challenge
• code_challenge_method (påkrevd sammen med code_challenge): 'S256'
• state (anbefalt): Tilfeldig streng for å forhindre CSRF-angrep
• tenant_id (valgfri): Spesifikk tenant å autentisere seg inn i

POST /connect/token

Bytter inn en autorisasjonskode mot access tokens, ID-token og eventuelt refresh token.

Forespørselsformat: application/x-www-form-urlencoded

Parametere:

• grant_type (påkrevd): 'authorization_code', 'refresh_token' eller 'password'
• code (påkrevd for authorization code-flyt): Autorisasjonskode fra /authorize
• client_id (påkrevd): Applikasjons-ID-en din
• client_secret (påkrevd): Applikasjonens hemmelighet (hold konfidensiell)
• redirect_uri (påkrevd): Må samsvare med /authorize-forespørselen
• code_verifier (påkrevd for SPA): PKCE code verifier
• refresh_token (for refresh-flyt): Refresh token som skal byttes inn
• username & password (for password-flyt): Brukerens innloggingsopplysninger

POST /connect/introspect

Validerer og undersøker innholdet i et access token eller refresh token.

GET /.well-known/openid-configuration

Standard OIDC-metadataendepunkt. Returnerer discovery-informasjon inkludert endepunkter, offentlige nøkler, støttede scopes og grant types.

Opprett en code verifier og challenge på klientsiden:

// 1. Generate random code verifier (43-128 characters)
const codeVerifier = generateRandomString(128);

// 2. Create code challenge via SHA256 hash
const codeChallenge = await crypto.subtle.digest('SHA-256',
  new TextEncoder().encode(codeVerifier)
);

// 3. Base64-URL encode the challenge
const codeChallengeB64 = base64UrlEncode(codeChallenge);

// Store codeVerifier in sessionStorage for Step 3
sessionStorage.setItem('pkce_verifier', codeVerifier);

Send brukeren videre for å logge inn:

GET /connect/authorize?
  client_id={your_app_id}
  &redirect_uri=https://your-app.com/callback
  &response_type=code
  &scope=openid email profile
  &code_challenge={pkce_challenge}
  &state={random_state}

Brukeren blir sendt videre til sin identitetstilbyder (Microsoft, Google, eller e-post/passord), fullfører autentiseringen, og blir sendt tilbake til din redirect_uri med en autorisasjonskode.

Fra backend-en din, bytt inn autorisasjonskoden:

POST /connect/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code={auth_code}
&client_id={your_app_id}
&client_secret={your_app_secret}
&redirect_uri=https://your-app.com/callback
&code_verifier={pkce_verifier}

Ved suksess mottar du:

{
  "access_token": "eyJhbGciOiJSUzI1NiIs...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "DefxA1234567890...",
  "id_token": "eyJhbGciOiJSUzI1NiIs..."
}

Valider signaturen på ID-tokenet ved hjelp av den offentlige nøkkelen fra /.well-known/openid-configuration, verifiser issuer- og audience-claimene, og hent ut brukerinformasjon.

ID-tokenet (JWT) inneholder brukerens identitetsinformasjon:

{
  "sub": "550e8400-e29b-41d4-a716-446655440000",
  "email": "user@company.com",
  "email_verified": true,
  "name": "John Doe",
  "given_name": "John",
  "family_name": "Doe",
  "tenant_id": "12345678-1234-1234-1234-123456789012",
  "iss": "https://api.advanza.ai",
  "aud": "your_app_id",
  "iat": 1234567890,
  "exp": 1234571490
}

Sentrale claims:

• sub: Unik brukeridentifikator (Guid)
• email: Brukerens e-postadresse
• email_verified: Om e-posten er verifisert
• name, given_name, family_name: Brukerens navn
• tenant_id: Brukerens aktive tenant/organisasjon
• iss: Token-utsteder (alltid https://api.advanza.ai)
• aud: Tiltenkt mottaker (applikasjons-ID-en din)
• iat: Tidspunkt tokenet ble utstedt (Unix-tidsstempel)
• exp: Tokenets utløpstidspunkt (Unix-tidsstempel)

Access tokenet (JWT) inneholder autorisasjonsinformasjon:

{
  "sub": "550e8400-e29b-41d4-a716-446655440000",
  "email": "user@company.com",
  "name": "John Doe",
  "tenant_id": "12345678-1234-1234-1234-123456789012",
  "roles": ["Owner"],
  "scope": "openid email profile offline_access roles",
  "iss": "https://api.advanza.ai",
  "aud": "your_app_id",
  "iat": 1234567890,
  "exp": 1234571490
}

Sentrale claims:

• sub: Bruker-ID
• email, name: Brukerinformasjon
• tenant_id: Aktiv tenant (bruk til ruting for multitenancy)
• roles: Brukerens roller i tenanten
• scope: Innvilgede scopes
• exp: Utløpstidspunkt (vanligvis 1 time)

Bruk access token til: Inkluder i Authorization-headeren (Authorization: Bearer {access_token}) når du kaller Advanza-API-er eller din egen backend.

Ved første innlogging tildeles brukeren en standard tenant. tenant_id -claimet fylles ut med denne tenantens ID.

Brukere med flere tenant-medlemskap kan bytte tenant ved å sende ønsket tenant_id -parameter til autorisasjonsendepunktet:

GET /connect/authorize?
  client_id={your_app_id}
  &redirect_uri=https://your-app.com/callback
  &response_type=code
  &scope=openid email profile
  &tenant_id=12345678-1234-1234-1234-123456789012
  &code_challenge={pkce_challenge}

Bruk tenant_id -claimet til å rute forespørsler til riktig tenant-kontekst i backend-en din:

// Extract tenant from token claims
const tenantId = tokenClaims.tenant_id;

// Route request to tenant context
const tenantContext = getTenantContext(tenantId);
const result = await performAction(tenantContext, action);