7.3. 외부 토큰 교환에 대한 내부 토큰

외부 토큰 교환 요청 내부에서는 호출 클라이언트가 외부 ID 공급자와 토큰을 교환할 수 있는 권한을 부여할 때까지 403, Forbidden 응답이 거부됩니다. 클라이언트에 권한을 부여하려면 ID 공급자의 구성 페이지로 이동하여 권한 탭으로 이동합니다.

이제 클라이언트에서 호출할 수 있는 권한이 있습니다. 이 작업을 올바르게 수행하지 않으면 교환을 시도하면 403 Forbidden 응답이 표시됩니다.

클라이언트가 기존 내부 토큰을 외부 토큰으로 교환하는 경우 requested_issuer 매개변수를 제공합니다. 매개변수는 구성된 ID 공급자의 별칭이어야 합니다.

curl -X POST \
    -d "client_id=starting-client" \
    -d "client_secret=the client secret" \
    --data-urlencode "grant_type=urn:ietf:params:oauth:grant-type:token-exchange" \
    -d "subject_token=...." \
    --data-urlencode "requested_token_type=urn:ietf:params:oauth:token-type:access_token" \
    -d "requested_issuer=google" \
    http://localhost:8080/auth/realms/myrealm/protocol/openid-connect/token

subject_token 매개변수는 대상 영역의 액세스 토큰이어야 합니다. requested_token_type 매개변수는 urn:ietf:params:oauth:token-type:access_token 또는 비어 있어야 합니다. 현재 요청한 다른 토큰 유형은 지원되지 않습니다. 이 호출에서 반환된 JSON 응답의 예는 다음과 같습니다.

{
   "access_token" : "....",
   "expires_in" : 3600
   "account-link-url" : "https://...."
}

어떤 이유로 외부 ID 공급자가 연결되지 않은 경우 다음 JSON 문서와 함께 HTTP 400 응답 코드를 받습니다.

{
   "error" : "....",
   "error_description" : "..."
   "account-link-url" : "https://...."
}

오류 클레임은 token_expired 또는 not_linked 입니다. 클라이언트가 클라이언트 시작 계정 연결을 수행할 수 있도록 account-link-url 클레임이 제공됩니다. 대부분의 공급업체는 브라우저 OAuth 프로토콜을 통해 연결해야 합니다. account-link-url 을 사용하여 redirect_uri 쿼리 매개변수를 추가하고 브라우저를 전달하여 링크를 수행할 수 있습니다.