Gérer les secrets et les clés pour l'authentification client des applications OIDC

La gestion des clés secrètes et des clés pour les applications OIDC vous permet de gérer efficacement les méthodes d'identification client en toute sécurité. Avec ces paramètres, vous pouvez effectuer les opérations suivantes :

  • Choisir entre la clé secrète client et la paire clé publique/clé privée, et les générer rapidement directement depuis la console des administrateurs. Il n'est ainsi plus nécessaire d'utiliser des API ou des sites Web tiers pour générer des clés publiques et privées.
  • Indiquer l'URL des clés publiques dans la console des administrateurs pour qu'Okta puisse automatiquement extraire la clé publique. Il n'est ainsi plus nécessaire de manuellement mettre à jour la clé publique dans la console des administrateurs lorsque vous effectuez une rotation des paires de clés.
  • Générez simultanément deux clés secrètes client et mettez-les en rotation en toute sécurité sans interrompre l'application. Vous pouvez générer jusqu'à deux clés secrètes client par application.
  • Passer d'une clé secrète client à une clé publique/clé privée comme méthode d'authentification.

Vous pouvez également effectuer ces tâches en utilisant l'API Okta. Consultez Rotation des clés secrètes client.

Avant de commencer

Passez en revue les autres paramètres pour configurer une application OIDC. Consultez Créer des intégrations d'applications OpenID Connect.

Commencer la procédure

Grâce à la gestion des clés secrètes et des clés OAuth, vous pouvez effectuer les tâches suivantes :

Générer une paire de clés publique/privée pour l'authentification client

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans la section Identifiants client, cliquez sur Modifier.
  4. Dans Authentification client, sélectionnez Clé publique/Clé privée.
  5. Dans la section Clés publiques, cliquez sur Ajouter une clé. La fenêtre contextuelle Ajouter une clé publique s'ouvre.
  6. Dans le menu déroulant Générer une nouvelle clé, sélectionnez Pour l'authentification client (sig). Cette opération génère une clé publique et une clé privée pour l'authentification client.
  7. Copiez la clé privée dans un emplacement sûr pour pouvoir vous y référer plus tard. Copiez la clé privée au format JSON ou PEM. La clé privée ne s'affiche qu'une seule fois, au moment de sa génération. Okta ne conserve pas la clé privée.
  8. Cliquez sur Terminé.
  9. Dans l'onglet Général, cliquez sur Enregistrer.

Votre clé publique s'affiche dans l'onglet Général. Cliquez sur la clé pour l'afficher au format JSON.

Ajouter votre clé publique à l'authentification client

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans la section Identifiants client, cliquez sur Modifier.
  4. Dans Authentification client, sélectionnez Clé publique/Clé privée.
  5. Dans la section Clés publiques, cliquez sur Ajouter une clé. La fenêtre contextuelle Ajouter une clé publique s'ouvre.
  6. Dans cette fenêtre, collez votre clé publique au format JSON.
  7. Cliquez sur Terminé.
  8. Dans l'onglet Général, cliquez sur Enregistrer.

Votre clé publique s'affiche dans l'onglet Général. Cliquez sur la clé pour l'afficher au format JSON.

Ajouter une seconde paire de clés à l'authentification client

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans la section Identifiants client, cliquez sur Modifier.
  4. Dans Authentification client, sélectionnez Clé publique/Clé privée.
  5. Dans la section Clés publiques, cliquez sur Ajouter une clé. La fenêtre contextuelle Ajouter une clé publique s'ouvre.
  6. Dans cette fenêtre, collez votre clé publique au format JSON. Vous pouvez aussi cliquer sur Générer une nouvelle clé et sélectionner Pour l'authentification client (sig) afin de générer une nouvelle paire de clés publique/privée.
  7. Copiez la clé privée dans un emplacement sûr pour pouvoir vous y référer plus tard. Copiez la clé privée au format JSON ou PEM. La clé privée ne s'affiche qu'une seule fois, au moment de sa génération. Okta ne conserve pas la clé privée.
  8. Cliquez sur Terminé.
  9. Dans l'onglet Général, cliquez sur Enregistrer.

Votre clé publique s'affiche dans l'onglet Général. Cliquez sur la clé pour l'afficher au format JSON.

Mettre automatiquement à jour une clé publique à partir d'une URL

Vous pouvez configurer l'authentification client private_key_jwt pour les applications OIDC en indiquant l'URL où vous stockez vos clés publiques dans la console des administrateurs. Il n'est ainsi plus nécessaire de manuellement mettre à jour la clé publique dans Okta chaque fois que vous effectuez une rotation des paires de clés. Okta récupère la dernière clé publique de l'application de façon dynamique à partir de cette URL.

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans la section Identifiants client, cliquez sur Modifier.
  4. Dans Authentification client, sélectionnez Clé publique/Clé privée.
  5. Sélectionnez Utiliser une URL pour récupérer les clés de façon dynamique.
  6. Dans le champ URL, saisissez l'URL où votre clé publique est stockée.
  7. Cliquez sur Enregistrer.

Ajouter un certificat pour l'authentification client mTLS

Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

L'authentification client Mutual Transport Layer Security (mTLS) permet à une application client de s'authentifier avec un certificat pendant la liaison TLS. Okta émet des jetons d'accès qui sont liés de manière cryptographique à ce certificat, de sorte qu'un jeton volé ne peut pas être utilisé sans certificat. Dans la phase 1, Okta prend en charge la confiance directe : Okta fait confiance au certificat autosigné spécifique que vous chargez, sans autorité de certification (AC).

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans la section Identifiants client, cliquez sur Modifier.
  4. Dans Authentification client, sélectionnez Clés et certificat, puis sélectionnez Mutual Transport Layer Security (mTLS).
  5. Dans la section Clés et certificat, cliquez sur Ajouter un certificat. La boîte de dialogue Ajouter un certificat s'ouvre.
  6. Chargez votre certificat au format PEM.
  7. Cliquez sur Enregistrer.
  8. Dans l'onglet Général, cliquez sur Enregistrer.

Votre certificat s'affiche dans le tableau Clés et certificat à côté des éventuelles clés publiques. La colonne Utilisation de la clé étiquette la ligne du certificat sig (mTLS) pour le distinguer d'une clé publique.

Pour enregistrer l'option Clés et certificat comme méthode d'authentification client, l'application a besoin d'une clé ou d'un certificat actif dans le tableau Clés et certificat.

La sélection de l'authentification client mTLS pour une application entraîne les effets suivants :

  • Okta désactive le paramètre Exiger l'en-tête Demonstrating Proof of Possession (DPoP) dans les requêtes de jeton pour l'application. mTLS fournit déjà une preuve de possession.
  • Le type d'autorisation Implicite (hybride) est désactivé pour l'application.

Remplacer ou supprimer un certificat

Tant que l'option Clés et certificat est la méthode d'authentification client active, vous ne pouvez pas désactiver la dernière clé ou le dernier certificat actif. Vous ne pouvez supprimer une clé ou un certificat qu'après l'avoir défini comme Inactif. Pour remplacer ou supprimer un certificat :

  1. Dans Authentification client, choisissez Clé secrète client ou Assertion JWT (JSON Web Token) sous Clés et certificat.
  2. Dans le tableau Clés et certificat, définissez le statut du certificat sur Inactif.
  3. Supprimez le certificat, puis ajoutez un certificat de remplacement si nécessaire.

Mettre en rotation la clé secrète client en créant une seconde clé secrète client

Si vous utilisez une clé secrète client pour l'authentification, vous pourrez générer une seconde clé secrète à utiliser pour la rotation.

  1. Accédez à l'application OIDC.
  2. Cliquez sur l'onglet Général.
  3. Dans Clés secrètes client, cliquez sur Générer une nouvelle clé secrète. Une nouvelle clé secrète est générée et apparaît dans la liste Clé secrète client. Les deux clés secrètes sont actives par défaut.
  4. Cliquez sur l'icône représentant un presse-papiers. Mettez à jour vos serveurs avec la clé secrète qui vient d'être générée.
  5. De retour dans la Console des administrateurs , paramétrez le statut de l'ancienne clé secrète sur Inactive. Vous pouvez également supprimer une clé inactive.

Modifier les méthodes d'identification client

Vous pouvez passer de la clé secrète client à une clé publique/privée.

  • Si vous passez d'une clé secrète client à une clé publique/privée, toutes les clés secrètes client pour l'application seront supprimées.
  • Si vous passez d'une sauvegarde des clés publiques sur Okta à une extraction à partir d'une URL, les clés publiques et tout certificat mTLS stockés dans Okta seront supprimés.

  • Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

    Si vous passez de l'Assertion JWT (JSON Web Token) à mTLS sous Clés et certificat, vos clés et votre certificat existants ne seront pas supprimés.