Échange de jeton d’accès avec Token Vault

• Client : Utilise ses propres informations d’authentification pour effectuer de façon sécurisée l’échange de jeton d’accès avec le serveur d’autorisation Auth0. Dans Auth0, vous créez un Custom API Client ayant le même identifiant que l’API backend. L’API backend transmet les informations d’authentification du Custom API Client pour effectuer de façon sécurisée l’échange de jeton d’accès avec le serveur d’autorisation Auth0.
• Serveur de ressources : Expose l’API backend à la SPA et valide le jeton d’accès Auth0.

​

Cas d’utilisation

• Une API backend : un utilisateur interagit avec une SPA, qui envoie ensuite une requête à une API backend pour échanger, auprès du serveur d’autorisation Auth0, un jeton d’accès Auth0 contre le jeton d’accès d’un fournisseur externe.
• Architecture en microservices : des services backend, comme des serveurs MCP ou d’autres serveurs de ressources OAuth 2.0, qui doivent échanger des jetons d’accès pour accéder à des API externes.

​

Fonctionnement

​

Prérequis

​

Étape 1 : Se connecter et autoriser l’accès

​

Étape 2 : le SPA appelle l’API backend avec le jeton d’accès Auth0

• Signature : Vérifiez la signature du jeton à l’aide de la clé publique d’Auth0. Cela confirme qu’Auth0 a émis le jeton d’accès.
• Émetteur : Vérifie la claim iss dans le payload du jeton pour confirmer que le jeton a été émis par votre tenant Auth0.
• Audience : Vérifie la claim aud pour s’assurer qu’elle correspond à l’identifiant unique de l’API backend elle-même. Cela confirme que le jeton a été émis spécifiquement pour ce serveur de ressources.
• Expiration : Valide la claim exp pour s’assurer que le jeton est toujours valide et n’a pas expiré.
• Scopes : Vérifie la claim scope pour déterminer quelles permissions ont été accordées à l’utilisateur.

​

Étape 3 : L’API backend effectue l’échange de jeton d’accès

• Transmet les informations d’authentification de l’API backend (celles du Custom API Client) au serveur d’autorisation Auth0 pour s’authentifier.
• Échange un jeton d’accès Auth0 contre un jeton d’accès Google.

curl --request POST 'https://{yourDomain}/oauth/token' \
  --header 'Content-Type: application/json' \
  --data '{
    "client_id": "<YOUR_CUSTOM_API_CLIENT_ID>",
    "client_secret": "<YOUR_CUSTOM_API_CLIENT_SECRET>",
    "subject_token": "<YOUR_AUTH0_ACCESS_TOKEN>",
    "grant_type": "urn:auth0:params:oauth:grant-type:token-exchange:federated-connection-access-token",
    "subject_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "requested_token_type": "http://auth0.com/oauth/token-type/federated-connection-access-token",
    "connection": "google-oauth2"
  }'

​

Étape 4 : Le serveur d’autorisation Auth0 valide le jeton d’accès

• Auth0 vérifie que le client qui effectue la demande d’échange de jeton d’accès est lié à l’API backend identifiée par l’audience du jeton d’accès.
• Auth0 vérifie si le tableau connected_accounts du profil utilisateur contient un compte d’utilisateur avec le nom de la connexion transmis dans la demande d’autorisation.
• Si la demande d’autorisation contient login_hint, Auth0 recherche une identity correspondant à la fois au nom de la connexion et au login_hint.
• Si Auth0 ne trouve pas l’utilisateur, il renvoie un code d’état 401 avec un message d’erreur.

{
  "access_token": "<YOUR_GOOGLE_ACCESS_TOKEN>",
  "scope": "https://www.googleapis.com/auth/calendar https://www.googleapis.com/auth/calendar.addons.execute https://www.googleapis.com/auth/calendar.events https://www.googleapis.com/auth/calendar.events.readonly https://www.googleapis.com/auth/calendar.settings.readonly https://www.googleapis.com/auth/userinfo.email https://www.googleapis.com/auth/userinfo.profile openid",
  "expires_in": 1377,
  "issued_token_type": "http://auth0.com/oauth/token-type/federated-connection-access-token",
  "token_type": "Bearer"
}