Configurar solicitudes de autorización protegidas con JWT (JAR)

Aprenda a configurar solicitudes de autorización protegidas con JWT (JAR) para una aplicación.

Para usar las funciones de Highly Regulated Identity, debe tener un plan Enterprise con el complemento Highly Regulated Identity. Consulte Auth0 Pricing para obtener más información.

JWT-Las solicitudes de autorización protegidas con JWT (JAR) permiten empaquetar los parámetros de la solicitud de autorización de OAuth2 en un único parámetro de solicitud JWT, que luego se firma para proteger su integridad.

​

Requisitos previos

Antes de configurar su aplicación para utilizar JAR, debe generar un par de claves RSA.

Debe generar un par de claves distinto para cada uso de credenciales. Por ejemplo, no reutilice el mismo par de claves para JAR y la autenticación con Private Key JWT.

​

Configurar JAR para una aplicación

Puede configurar JAR para una aplicación desde Auth0 Dashboard y la Management API.

Auth0 Dashboard

Usa Auth0 Dashboard para configurar tu aplicación y que use JAR con claves RSA generadas previamente.

1. Ve a Auth0 Dashboard > Applications.

2. Selecciona la aplicación que quieres usar con JAR.

3. Selecciona la pestaña Configuración de la aplicación.

4. En la sección Authorization Requests, habilita Require solicitudes de autorización protegidas con JWT.

5. Si no hay ninguna credencial asignada y hay credenciales disponibles, se te pedirá que asignes una credencial existente.

   

6. También tendrás la opción de asignar una credencial nueva.

   

7. Agrega y asigna una credencial nueva cargando un par de claves RSA generado previamente. Cuando se te solicite, introduce lo siguiente:

   • Nombre: un nombre para identificar la credencial
   • Clave pública: la clave pública del certificado X.509 en formato PEM
   • Algoritmo: selecciona el algoritmo de firma de JAR
   • Fecha de expiración: establece la fecha de expiración de la credencial

Management API

Usa la Management API para configurar JAR en tu aplicación mediante la propiedad de configuración del cliente signed_request_object. Esta propiedad de objeto contiene los siguientes campos:

• required: obliga a que todas las solicitudes de autorización a /authorize y /oauth/par usen JAR. Para obtener más información, consulta Flujo de código de autorización con solicitudes de autorización protegidas con JWT.
• credentials: una matriz de ID de credenciales que se usan para verificar firmas.

El parámetro credentials se comporta de forma similar al parámetro de Private Key JWT client_authentication_methods.private_key_jwt.credentials, que admite la creación de credenciales al crear una aplicación nueva. Para obtener más información, consulta Configurar Private Key JWT.

Puedes configurar JAR para una aplicación nueva o una aplicación existente mediante la Management API.

​

Configurar JAR para una aplicación nueva

Cuando crees una aplicación nueva, configura JAR enviando una solicitud POST con signed_request_object. En esa solicitud POST, también puedes registrar la credencial de cliente correspondiente (es decir, la clave PEM):

POST https://{yourTenant}.auth0.com/api/v2/clients
Authorization: Bearer <YOUR_ACCESS_TOKEN>
Content-Type: application/json
{
  "name": "My App using JAR",
  "signed_request_object": {
      "required": true,
"credentials": [{
        "name": "My credential for JAR",
        "credential_type": "public_key",
        "pem": "[YOUR PEM FILE CONTENT]",
        "alg": "RS256"
}]
  },
  "jwt_configuration": {
    "alg": "RS256"
  }
}

​

Configurar JAR para una aplicación existente

Al actualizar una aplicación existente, primero debes crear explícitamente una credencial de cliente. La siguiente solicitud POST usa el contenido de tu archivo PEM para crear tus credenciales de cliente para JAR:

Asegúrate de que los saltos de línea estén codificados correctamente en JSON, sin formato adicional.

Luego, asigna la credencial de cliente a la configuración de cliente signed_request_object. La siguiente solicitud PATCH asocia tus credenciales de cliente con signed_request_object:

​

Más información

• Flujo de código de autorización con solicitudes de autorización protegidas mediante JWT (JAR)