Tipo de permiso de código de dispositivo

El tipo de permiso Código de dispositivo proporciona un flujo de permiso específico en el que un cliente de dispositivo se ejecuta en un dispositivo que no tiene un método de entrada de datos fácil (por ejemplo, consolas de juegos, reproductores de medios de transmisión y marcos de imágenes digitales), y el cliente de dispositivo no puede recibir solicitudes entrantes del servidor de autorización.

Para obtener un token de acceso para acceder a recursos protegidos a través de un cliente de dispositivo, en lugar de interactuar directamente con el cliente de dispositivo, el cliente de dispositivo le indica al usuario que utilice otro equipo o dispositivo y se conecte al servidor de autorización para aprobar la solicitud de acceso. El cliente del dispositivo sondea el servidor de autorización repetidamente hasta que el usuario completa el proceso de aprobación.

Al crear una aplicación mediante el tipo de permiso Código de dispositivo en la consola del dominio de identidad, seleccione Código de dispositivo como tipo de permiso.

Consulte Tipo de permiso de código de dispositivo para obtener más información sobre el tipo de permiso de código de dispositivo y un diagrama de flujo de autorización.

Flujo de autorización

1. Un cliente de dispositivo realiza una solicitud no autenticada en el punto final /oauth2/v1/device.

   La URL del evento contiene parámetros de consulta que indican el tipo de acceso que se solicita:

   Ejemplo de solicitud

      curl -i -k 
      -H 'Authorization: application/x-www-form-urlencoded; charset=utf-8'
      --request POST 'https://<domainURL>/oauth2/v1/device'
      -d 'response_type=device_code&scope=http://example.com/quotes&client_id=<client-id>'

2. La respuesta contiene un código de dispositivo, un código de usuario y un URI de verificación de la aplicación cliente OAuth.

   Ejemplo de respuesta

   { 
   "expires_in": 300, 
   "device_code": "4d03f7bc-f7a5-4795-819a-5748c4801d35", 
   "user_code": "SDFGHJKL",
   "verification_uri": "http://<domainURL>/ui/v1/device" 
   }

3. El dispositivo muestra el código de usuario (user_code) y proporciona la URL (validation-uri) a la que el usuario debe ir para introducir el código de usuario.

4. La aplicación cliente de dispositivo no sabe si el usuario está autorizado. Mientras el usuario autoriza (o deniega) la solicitud del cliente, el cliente sondea repetidamente el servidor de autorización en el punto final de token (oauth2/v1/token) para averiguar si el usuario ha completado el paso de autorización de usuario. El cliente incluye el código de verificación y su identificador de cliente en la solicitud.

   Ejemplo de solicitud: cliente confidencial

      curl -i -k 
      -H 'Authorization: application/x-www-form-urlencoded; charset=utf-8' 
      -H 'Authorization: Basic <base64 clientid:secret> 
      --request POST 'https://<domainURL>/oauth2/v1/token'
      -d 'grant_type=urn:ietf:params:oauth:grant-type:device_code&device_code=4d03f7bc-f7a5-4795-819a-5748c4801d35'

   Ejemplo de solicitud: cliente público

      curl -i -k 
      -H 'Authorization: application/x-www-form-urlencoded; charset=utf-8' 
      --request POST 'https://<domainURL>/oauth2/v1/token'
      -d 'grant_type=urn:ietf:params:oauth:grant-type:device_code&client_id=3e51760ceb1245b7b77d0b1ff280bb72&device_code=4d03f7bc-f7a5-4795-819a-5748c4801d35'

   Ejemplo de solicitud mediante una afirmación de cliente

      curl -i -k 
      -H 'Authorization: application/x-www-form-urlencoded; charset=utf-8' 
      --request POST 'https://<domainURL>/oauth2/v1/token'
      -d 'grant_type=urn:ietf:params:oauth:grant-type:device_code&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&client_assertion=<clientAssertion>&device_code=4d03f7bc-f7a5-4795-819a-5748c4801d35'

   Ejemplo de solicitud mediante una afirmación de SAML

      curl -i -k 
      -H 'Authorization: application/x-www-form-urlencoded; charset=utf-8' 
      --request POST 'https://<domainURL>/oauth2/v1/token'
      -d 'grant_type=urn:ietf:params:oauth:grant-type:device_code&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Asaml2-bearer&client_assertion=<samlAssertion>&device_code=4d03f7bc-f7a5-4795-819a-5748c4801d35'

   Ejemplo de solicitud usando mTLS

   Para obtener información sobre cómo obtener secureDomainURL, consulte Acceso a tipos de permiso.

   curl -v \
   --cert cert.crt \
   --key key.key \
   --cacert ca.crt \
   --location '<secureDomainURL>/oauth2/v1/token' \
   --header 'Authorization: Basic <base64Encoded clientid:secret>'
   --header 'Content-Type: application/x-www-form-urlencoded' \
   --data-urlencode 'grant_type=client_credentials' \
   --data-urlencode 'client_id=<client-id>' \
   --data-urlencode 'scope=urn:opc:idm:_myscopes_'

5. Una vez que el usuario introduce el código de usuario y autoriza el acceso, el servidor de autorización OAuth autentica al usuario y devuelve un token de acceso que contiene todos los ámbitos aplicables en función de los privilegios representados por los roles de aplicación otorgados a la aplicación cliente solicitante.
6. El cliente del dispositivo solicitante utiliza el token de acceso en una llamada de API para obtener datos protegidos.