Configurar el flujo OIDC

1. Registra una aplicación

En tu proveedor de identidad, crea una aplicación con estos valores:

• Tipo de aplicación: aplicación web confidencial.
• Grants: Authorization Code y Refresh Token.
• Autenticación del cliente: client_secret_basic o client_secret_post.
• Tokens de acceso: JWT firmados para tu API.
• Acceso: asigna los empleados o grupos que podrán usar Ottex.

URI de redirección: registra este endpoint con el hostname de tu backend.

https://api.acme.example/auth/callback

El backend gestiona el callback y abre Ottex. No necesitas una página de callback en la web de tu empresa.

2. Configura el backend

Define estas variables de entorno con los valores de tu proveedor de identidad:

ENTERPRISE=true
AUTH_ISSUER_URL=https://identity.acme.example
AUTH_AUDIENCE=ottex-api
OIDC_CLIENT_ID=ottex-backend
OIDC_CLIENT_SECRET=replace-with-your-client-secret
OIDC_REDIRECT_URI=https://api.acme.example/auth/callback
OIDC_SCOPES="openid profile email"

• Emisor: URL exacta del emisor OIDC, incluida la ruta de tenant o realm. Debe publicar metadatos de descubrimiento y claves de firma.
• Audiencia: identificador de la API en el claim aud del token de acceso. Configura el proveedor para emitir tokens para esta API; usa un identificador distinto del ID del cliente.
• Credenciales: ID y secreto de la aplicación. Conserva el secreto en el backend.
• URI de redirección: debe coincidir exactamente con el callback HTTPS registrado.
• Scopes: mantén openid; añade scopes de API y offline_access si tu proveedor los requiere.
• Algoritmo de firma: RS256 por defecto. Define AUTH_SIGNING_ALGS si el emisor usa otro algoritmo admitido.

Reinicia el backend después de cambiar las variables.

3. Prueba el acceso

• Inicia sesión desde Ottex con una cuenta corporativa asignada.
• Prueba el dictado para verificar el acceso autenticado a la API.
• Comprueba la renovación de sesión cuando caduque el token de acceso.

Resolución de problemas

• Error de redirección: compara el callback registrado con OIDC_REDIRECT_URI, incluidos esquema, host, puerto y ruta.
• Audiencia incorrecta: comprueba que aud incluye AUTH_AUDIENCE. Esta variable valida la audiencia; no la solicita al proveedor.
• Falta el token de actualización: habilita su emisión. Añade offline_access si es necesario. Sin este token, el inicio de sesión falla.