SSO / IAM Platform

Ekzo Identity — единый центр аутентификации

Single Sign-On и управление доступом на базе OpenID Connect поверх OAuth 2.0. Один вход для пользователя, подписанные JWT-токены для всех микросервисов платформы.

OIDC 1.0поверх OAuth 2.0

RS256подпись JWT

2способа верификации

∞микросервисов

Назначение

Центральный орган аутентификации платформы

Identity выдаёт подписанные JWT access-токены, которые downstream-сервисы проверяют двумя способами: локально по публичному ключу из JWKS-эндпоинта (без сетевого запроса) или через introspection-эндпоинт на стороне сервера.

Приложения регистрируются как OAuth 2.0 клиенты и получают токены по стандартным флоу. Пользователь аутентифицируется один раз, а его личность и ролевые права передаются в каждом токене по всей платформе.

SSO

Единый вход для всех приложений и сервисов экосистемы

IAM

Управление идентификацией, ролями и правами доступа

OAuth 2.0 Server

Authorization Code + PKCE и Client Credentials флоу

OIDC Provider

ID-токены, UserInfo, Discovery и JWKS из коробки

Сценарии

Одна платформа — три сценария

Identity закрывает аутентификацию клиентов, сотрудников и сервисов из единого центра

Бесшовный вход для клиентов

Регистрация и вход по OAuth 2.0 / OpenID Connect

Вход через внешние провайдеры (Google, GitHub)

Самостоятельное восстановление пароля по email

Стандартные scopes: openid, profile, email, phone, offline_access

Модель взаимодействия

Один вход — токен для всех сервисов

Приложения получают JWT через стандартные флоу, микросервисы проверяют его локально или через introspection

Приложения и флоу

Web App

Auth Code + PKCE

Mobile App

Auth Code + PKCE

Backend / M2M

Client Credentials

SPA

OIDC

Ekzo Identity

Аутентификация · Авторизация · Выпуск токенов

RS256 подписьJWKS публикацияToken introspection

Подписанный JWT access-токен

Микросервисы платформы

Проверяют токен локально по ключу JWKS или через introspection-эндпоинт и получают права из claims

Поддерживаемые стандарты

Открытые стандарты идентификации

Identity построен на промышленных стандартах — совместим с любым OIDC/OAuth-клиентом

OAuth 2.0Authorization Server

Authorization Code + PKCE для браузеров, Client Credentials для M2M, отзыв токенов (RFC 7009) и индикаторы ресурсов (RFC 8707)

OpenID Connect1.0

ID-токены, UserInfo, Discovery (.well-known) и провайдер идентичности

JWTRS256

Самодостаточные подписанные токены с KID-заголовком и ротацией ключей

JWKSRFC 7517

Публикация публичного ключа для локальной проверки токенов без запроса

PKCERFC 7636

Защита от перехвата authorization code для публичных клиентов

IntrospectionRFC 7662

Серверная валидация токенов и получение активных claims

Принцип работы

Аутентификация за четыре шага

От регистрации приложения до проверки токена в микросервисе

Зарегистрируйте приложение

Создайте OAuth 2.0 клиента: redirect URI, scopes и секреты. Настройте маппинг claims под ваш сервис.

Client

Пользователь входит

Аутентификация по логину/паролю, LDAP или внешнему провайдеру. Один вход — доступ ко всем сервисам.

Identity выдаёт JWT

Подписанный RS256 access-токен с личностью пользователя и claims, вычисленными маппингом приложения.

Token

Сервис проверяет токен

Локально по публичному ключу JWKS или через introspection — без хранения сессий.

Verify

Функциональные возможности

Всё для управления идентификацией

Полный набор инструментов аутентификации, авторизации и управления доступом

Аутентификация пользователей

Вход по логину и паролю. LDAP и внешние OAuth-провайдеры (Google, GitHub) как точки расширения.

OAuth 2.0 Authorization Server

Authorization Code + PKCE для браузерных приложений и Client Credentials для межсервисного взаимодействия.

OpenID Connect провайдер

ID-токены, UserInfo-эндпоинт, OIDC Discovery (.well-known) и JWKS-эндпоинт для проверки подписи.

JWT access-токены

Самодостаточные RS256-токены. Downstream-сервисы проверяют локально по JWKS или через introspection.

Управление приложениями

Регистрация и управление OAuth 2.0 клиентами: redirect URI, scopes, секреты и claims токена на FEEL — через админ-интерфейс.

Журнал и безопасность

RSA-ключи для подписи, обязательный PKCE, настройка CORS и журналирование выданных токенов.

Пользователи и роли

Пользователи, роли и их назначение — в интерфейсе и через REST API. Роли пользователя попадают в claims токена.

Сессии, токены и logout

Список и принудительный отзыв сессий входа, отзыв токенов, refresh-токены по scope offline_access и RP-initiated logout.

Опыт разработчиков

Стандартный OIDC — никакой магии

Готовые эндпоинты Discovery, JWKS и introspection. Проверяйте токены локально или на сервере.

OIDC DiscoveryАвтоконфигурация клиента через .well-known/openid-configuration

Локальная проверка JWKSПроверка подписи по публичному ключу без сетевого запроса

Спецификация OpenAPI 3.xЗапущенный сервис отдаёт описание своего API по /api-docs

identity · endpoints

# OIDC discovery
GET  /.well-known/openid-configuration

# JWKS — public key for local JWT verification
GET  /oauth/discovery/keys

# Server-side token introspection (RFC 7662)
POST /oauth/introspect

# Token revocation (RFC 7009)
POST /oauth/revoke

# UserInfo
GET  /oauth/userinfo

Маппинг claims

Гибкая структура токенов для каждого приложения

Каждый OAuth-клиент задаёт FEEL-выражение, которое при выдаче токена формирует claims JWT — из ролей и атрибутов пользователя или статических значений

FEEL-выражениеРезультат — контекст, записи которого добавляются в access-токен приложения

user · applicationВ выражении доступны пользователь с его ролями и OAuth-клиент; для M2M-токенов пользователя нет

aud, sub, …Claims маппинга применяются последними и могут переопределить базовые — например, аудиторию токена

claim_mapping · FEEL

{
  name: user.name,
  aud: ["tasklist-api", "operate-api"],
  permissions: {
    "tasklist-api": ["read:*", "write:*"],
    "operate-api": ["read:*"]
  }
}

Карта функций

Всё для управления идентификацией

Полный набор инструментов аутентификации, авторизации и управления доступом

Вход по паролю

Auth Code + PKCE

Client Credentials

Refresh-токены

Token introspection

OIDC Discovery + JWKS

ID-токены и UserInfo

RS256 + KID

Claims приложения на FEEL

Управление приложениями

Отзыв токенов (RFC 7009)

Управление сессиями входа

RP-initiated logout

Ограничение аудитории (RFC 8707)

LDAP / внешние провайдерыв планах

Multi-factor (TOTP/SMS)в планах

Field-level / row-level ACLв планах

Ротация ключей без простояв планах

Кому необходимо

Единая идентичность для любой архитектуры

Identity подходит для микросервисов, корпоративных порталов и внешних API

Микросервисная платформа

Единый центр аутентификации для всех сервисов. Stateless-проверка токенов по JWKS без общих сессий.

Корпоративный SSO

Один вход для всех внутренних приложений компании. Роли и права централизованно в токене.

Защита API

Выдавайте scoped-токены для партнёров и интеграций. Серверная валидация через introspection.

Внешние интеграции

Стандартный OIDC/OAuth позволяет подключать любые совместимые клиенты и identity-провайдеры.

Подключите Identity к вашей платформе

Мы будем рады ответить на ваши вопросы или провести персональную демонстрацию возможностей Identity.

Документация по эксплуатации →