SSO 和现有 OAuth 集成

Question

晚上好，

我的小组正在推出 SSO - 是的。我们有几个直接通过 Box.com 进行身份验证的应用程序，并且所有令牌刷新都是自动处理的。在我们迁移到 SSO 之后，我们没有在我们的 AD 中包含这些服务（应用）帐户，因此它们无法通过 SSO 网关进行访问。

我对在循环中使用 SSO 提供程序的 OAuth 如何工作的理解（可能不正确）：

我们仍然可以直接使用 box 启动 OAuth 握手 - 但 box 会将此请求转发给 SSO 提供商。然后，SSO 提供者将对凭据进行身份验证并将“一切正常”传回给盒子，盒子将发出一个 auth_token。

这是基于以下内容：

“如果您通过 Box 的 OAuth 2.0 验证您的应用程序，您的 应用程序将自动让客户使用他们的 公司凭证，就像对待其他 Box 一样 应用。这也适用于流行的商业服务，如 Okta、一次登录和 Ping。”

https://docs.box.com/docs/oauth-20

还有这张照片：

那么，如果外部应用的 Box 服务帐号不在 SSO 的 AD 中（首字母缩写词太多），他们应该无法进行身份验证吧？

但这些应用仍然能够进行身份验证。他们能够刷新他们的令牌并继续访问盒子，即使在迁移到 SSO 之后也是如此。

我的理解缺陷在哪里？是否需要将这些应用添加到 AD 中，还是推出 SSO 不会影响我们的任何外部依赖项？

谢谢！

Answer 1

从盒子里得到答案：

第三方应用和集成使用持久身份验证 代币模型。这意味着除非用户故意将其注销 的应用程序，或管理员停用或删除他们的帐户，这 用户在初次登录后将永远不必重新进行身份验证。反而， 应用程序/集成将刷新他们的令牌。刷新令牌确实 不需要单步执行 SSO 登录流程，同时生成 初始令牌集确实如此。

SSO 状态的变化，无论是在 SSO 关闭、启用还是必需之间， 或在两个不同的连接之间，对现有的没有影响 身份验证会话。 SSO时不会强制用户下线 已打开。

在下次登录尝试时，新的 SSO 流程将发挥作用。在这种情况下，这些用户已经通过身份验证进入集成 在 SSO 推出之前。 SSO 更改将影响 这些用户需要通过 SSO 进行身份验证； 但是，由于持久性身份验证模型，“下次登录” 从未真正发生过，这些用户可以继续刷新令牌 并保留访问权限，而不会被要求进行身份验证 再次是 IdP。