35.2. IdM が外部 IdP を介してログインを組み込む方法

SSSD 2.7.0 には、idp Kerberos 事前認証方法を実装する sssd-idp パッケージが含まれています。この認証方法は、OAuth 2.0 Device Authorization Grant フローに従って、認可の判断を外部 IdP に委任します。

IdM クライアントユーザーは、コマンドラインで kinit ユーティリティーを使用して Kerberos チケット保証チケット(TGT)の取得を試行するなどして、OAuth 2.0 デバイス認可付与フローを開始します。
特別なコードと Web サイトのリンクが認可サーバーから IdM Key Distribution Center (KDC)バックエンドに送信されます。
IdM クライアントは、リンクとコードをユーザーに表示します。この例では、IdM クライアントはコマンドラインにリンクとコードを出力します。
ユーザーは、別のホストや携帯電話などのブラウザーで Web サイトのリンクを開きます。
1. ユーザーは特別なコードを入力します。
2. 必要に応じて、ユーザーは OAuth 2.0 ベースの IdP にログインします。
3. ユーザーは、クライアントによる情報へのアクセスを許可するよう求められます。
ユーザーは、元のデバイスのプロンプトでアクセスを確認します。この例では、ユーザーはコマンドラインで Enter キーを押します。
IdM KDC バックエンドは、ユーザー情報にアクセスするために OAuth 2.0 認可サーバーをポーリングします。