Avant de pouvoir utiliser un composant OAuth2Client, OAuth2AccountLink ou OAuthAccountLink dans une compétence, un administrateur doit enregistrer une application confidentielle (également appelée client OAuth) dans OCI IAM ou OAM.

Pour savoir comment enregistrer une application dans le service IAM pour OCI, voir Ajout d'une application confidentielle dans la documentation sur Oracle Cloud Infrastructure. Pour plus d'informations sur l'enregistrement d'une application dans OAM, voir Configuration des services OAuth dans Administration d'Oracle Access Management.

Lorsque vous enregistrez une application (client) dans OCI IAM ou OAM, vous devez fournir les informations suivantes :

• Allowed Grant Types (Types d'accès autorisés) : L'application doit utiliser le type d'autorisation Authorization Code (Code d'autorisation) ou Client Credentials (Données d'identification de client).

• Scopes or Roles (Portées ou rôles) : Incluez les ressources auxquelles vos composants personnalisés doivent avoir accès. Si vous incluez le type d'autorisation par jeton d'actualisation, vous devez également ajouter la portée correspondante, qui est offline_access pour le service IAM pour OCI.

• Redirect or Callback URL (URL de redirection ou de rappel) : Vous devrez fournir l'URL utilisée par le fournisseur d'identités pour renvoyer le code d'autorisation. Certains fournisseurs d'identités l'appellent URL de redirection ou URI de rappel. Pour savoir quelle URL de redirection utiliser, allez dans la page Channels (Canaux) et ouvrez un canal Facebook ou Webhook (si vous n'en avez pas, créez un canal fictif). Vous utilisez le domaine et le port de l'URL Webhook du canal (par exemple, https://<domain>:<port>/connectors/v2/tenants/<tenantId>/listeners/facebook/channels/<channelId>) pour créer l'URL de redirection, qui doit être au format https://<domain>:<port>/connectors/v2/callback. Par exemple https://example.com:443/connectors/v2/callback.

  Si votre instance est provisionnée sur la plate-forme Oracle Cloud (comme c'est le cas pour toutes les instances de la version 19.4.1), utilisez v1 au lieu de v2.

Si vous utilisez OAuth2Client ou OAuth2AccountLink pour vous authentifier auprès du fournisseur d'identités, après avoir créé l'application (client OAuth), notez les données d'identification du client, le jeton de fournisseur d'identités et l'URL d'autorisation. Vous aurez besoin de ces informations pour créer un service d'authentification tel que décrit dans Services d'authentification.

Pour enregistrer une application avec une plate-forme d'identités Microsoft, suivez les instructions de Microsoft dans Démarrage rapide : Inscrire une application avec la plateforme d’identités Microsoft.

Réglez le type d'application à Web.

Vous devrez fournir l'URL utilisée par la plateforme pour renvoyer le code d'autorisation. Pour savoir quelle URL utiliser, allez dans la page Channels (Canaux) de Digital Assistant et ouvrez un canal Facebook ou Webhook (si vous n'en avez pas, créez un canal fictif). Vous utilisez le domaine et le port de l'URL Webhook du canal (par exemple, https://<domain>:<port>/connectors/v2/tenants/<tenantId>/listeners/facebook/channels/<channelId>) pour créer l'URL de redirection, qui doit être au format https://<domain>:<port>/connectors/v2/callback. Par exemple https://example.com:443/connectors/v2/callback.

Une fois l'application enregistrée, vous devez créer une clé secrète client comme décrit dans la rubrique Microsoft Créer un secret d'application. Vous utiliserez cette clé secrète lorsque vous créerez un service d'authentification pour l'application.

Pour enregistrer une application avec Google OAuth2, vous créez un projet et activez les API nécessaires comme indiqué dans la rubrique Google Enable APIs for your project. Si vous prévoyez utiliser les composants de calendrier, veillez à activer l'API de calendrier Google et l'API CalDAV.

Obtenez ensuite l'ID client et le secret de l'application comme décrit dans la rubrique Google Create authorization credentials.

Sur l'écran de consentement OAuth, spécifiez les étendues pour lesquelles votre application aura besoin d'autorisation d'accès. Voir la rubrique Google Identify access scopes pour plus d'informations.

Voici comment créer un service d'authentification pour le type d'autorisation Authorization Code (Code d'autorisation) pour OCI IAM, OAM, la plate-forme d'identité Microsoft et la plate-forme d'identité Google. Ce type d'autorisation effectue l'authentification d'après le nom d'utilisateur et le mot de passe.

1. Ouvrez le menu latéral, puis cliquez sur Settings > Authentication Services.
2. Cliquez sur + Service.
3. Sélectionnez le type d'autorisation Authorization Code (Code d'autorisation).
4. Entrez ces valeurs :

   • Identity Provider (Fournisseur d'identités) : Type de fournisseur d'identités (IdP) utilisé.

   • Name (Nom) : Nom servant à identifier le service d'authentification.

   • Token Endpoint URL (URL du point d'extrémité du jeton) : URL du fournisseur d'identités pour les demandes de jetons d'accès.

     • IAM pour OCI : Utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/token.

     • OAM : Utilisez http://<Managed-Server-Host>:<Managed-Server-Port>/oauth2/rest/token.

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) : Utilisez https://login.microsoftonline.com/<Azure-Active-Directory-TenantID>/oauth2/v2.0/token.

     • Google Identity Platform (Plate-forme d'identité Google) : Utilisez https://www.googleapis.com/oauth2/v4/token.

   • Authorization Endpoint (Point d'extrémité d'autorisation) : URL du fournisseur d'identités pour la page dans laquelle les utilisateurs s'authentifient en entrant leur nom d'utilisateur et leur mot de passe.

     • IAM pour OCI : Utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/authorize.

     • OAM : Utilisez http://<host>:<port>/oauth2/rest/authz.

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) : Utilisez https://login.microsoftonline.com/<Azure-Active-Directory-TenantID>/oauth2/v2.0/authorize.

     • Google Identity Platform (Plate-forme d'identité Google) : Utilisez https://accounts.google.com/o/oauth2/v2/auth.

   • Short Authorization Code Request URL (URL de demande de code d'autorisation courte) : (Facultatif) Version abrégée de l'URL d'autorisation, que vous pouvez obtenir d'un service de raccourcissement d'URL (qui permet d'envoyer des paramètres d'interrogation). Il se peut que vous en ayez besoin car l'URL de demande de code d'autorisation générée risque d'être trop longue pour les SMS et les téléphones intelligents plus anciens.

     Par défaut, les URL de demande de code d'autorisation pour chaque plate-forme sont les suivantes :

     • OCI IAM et OAM :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&state={state}

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&response_mode=query&state={state}

     • Google Identity Platform (Plate-forme d'identité Google) :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&access_type=offline&prompt=consent&state={state}

     Voici un exemple d'URL affichée dans un message texte :

     
     Description de l'illustration long-url.png

     Par exemple, vous pouvez obtenir une version raccourcie de cette URL :

     {Authorization Endpoint
           URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&state={state}

     À l'aide de Short Authorization Code Request URL (URL de demande de code d'autorisation courte), Oracle Digital Assistant crée l'URL de demande de code d'autorisation comme suit :

     {Short Authorization Code Request URL}?state={state}

   • Revoke Token Endpoint URL (URL de révocation de point d'extrémité de jeton) : (Facultatif) Si vous voulez révoquer tous les jetons d'actualisation et d'accès de l'utilisateur connecté à partir d'un flux de dialogue, vous avez besoin de l'URL de révocation de jeton d'actualisation du fournisseur d'identités. Si vous fournissez cette URL, vous pouvez utiliser le composant Réinitialiser les jetons OAuth 2.0 pour révoquer les jetons de l'utilisateur pour ce service.

     • IAM pour OCI : Utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/revoke.

     • OAM : Utilisez https://<host>:<port>/ms_oauth/oauth2/endpoints/<OAuth-Service-Name>/tokens.

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) : Non prise en charge.

     • Google Identity Platform (Plate-forme d'identité Google) : Utilisez https://oauth2.googleapis.com/revoke.

   • Client ID (ID client) et Client Secret (Clé secrète client) : ID et clé secrète client de l'application du fournisseur d'identités (client OAuth) enregistrée comme décrit dans la rubrique Enregistrement au niveau du fournisseur d'identités. Avec la plate-forme d'identités Microsoft, utilisez l'ID et la clé secrète de l'application.

   • Scopes (Étendues) : Liste séparée par des espaces des portées à inclure lorsque Digital Assistant demande un jeton d'accès au fournisseur. Incluez toutes les portées requises pour accéder aux ressources. Si les jetons d'actualisation sont activés, incluez la portée nécessaire à l'obtention du jeton d'actualisation (généralement offline_access).

     • IAM pour OCI : Utilisez l'étendue urn:opc:idm:__myscopes__ lorsque vous avez besoin d'obtenir un jeton d'accès contenant toutes les étendues autorisées. Utilisez l'étendue urn:opc:idm:role.<roll-name> (par exemple, urn:opc:idm:role.User%20Administrator) lorsque vous avez besoin d'obtenir un jeton d'accès contenant toutes les étendues d'un rôle donné.

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) : Vous devez inclure openid email profile offline_access. Si vous prévoyez utiliser des composants de calendrier, vous devez inclure https://graph.microsoft.com/Calendars.ReadWrite. Pour d'autres autorisations, utilisez le format https://graph.microsoft.com/<permission>. Remplacez <permission> par un nom d'autorisation valide provenant de Référence des autorisations de Microsoft Graph.

     • Google Identity Platform (Plateforme d'identité Google) : Vous devez inclure https://www.googleapis.com/auth/userinfo.email, qui permet d'obtenir l'ID connexion de l'utilisateur. Si vous prévoyez utiliser des composants de calendrier, vous devez inclure https://www.googleapis.com/auth/calendar. Pour d'autres étendues, voir OAuth 2.0 Scopes for Google APIs.

   • Subject Claim (Revendication du sujet) : Revendication du profil de jeton d'accès à utiliser pour identifier l'utilisateur.

     • IAM et OAM pour OCI : Il s'agit généralement de la revendication sub (objet). Cependant, si la revendication sub contient un ID utilisateur interne, ce n'est pas utile pour Digital Assistant. Dans ces situations, spécifiez une revendication de profil qui peut aider Digital Assistant à identifier l'utilisateur, par exemple email ou name.

     • Microsoft Identity Platform (Plate-forme d'identités Microsoft) : Utilisez preferred_username.

     • Google Identity Platform (Plate-forme d'identité Google) : Utilisez email.

   • Refresh Token Retention Period (Période de conservation du jeton d'actualisation) : Nombre de jours de conservation du jeton d'actualisation dans la mémoire cache de Digital Assistant. Si vous laissez cette option vide, la valeur par défaut est 7.

   
   Description de l'illustration auth-service-ac.png
5. Cliquez sur Create (Créer).

Voici comment créer un service d'authentification pour le type d'autorisation Credentials (Données d'identification). Ce type d'autorisation effectue l'authentification d'après l'ID et la clé secrète client.

1. Ouvrez le menu latéral, puis cliquez sur Settings > Authentication Services.
2. Cliquez sur + Service.
3. Sélectionnez le type d'autorisation Client Credentials (Données d'identification du client).
4. Entrez ces valeurs :

   • Identity Provider (Fournisseur d'identités) : Type de fournisseur d'identités (IdP) utilisé.

   • Name (Nom) : Nom servant à identifier le service d'authentification.

   • Token Endpoint URL (URL du point d'extrémité du jeton) : URL du fournisseur d'identités pour les demandes de jetons d'accès.

   • Client ID (ID client) et Client Secret (Clé secrète client) : ID et clé secrète client de l'application du fournisseur d'identités (client OAuth) enregistrée comme décrit dans la rubrique Enregistrement au niveau du fournisseur d'identités.

   • Scopes (Portées) : Portées à inclure lorsque Digital Assistant demande un jeton d'accès au fournisseur. Incluez toutes les portées requises pour accéder aux ressources.

   
   

   
   Description de l'illustration auth-service-cc.png

   
   
5. Cliquez sur Create (Créer).

Vous pouvez configurer les compétences pour les identités d'utilisateur unifiées en procédant de la façon suivante :

1. Activer la liaison de compte de canal dans l'instance Digital Assistant.
2. Ajoutez un service de code d'autorisation dans votre instance Digital Assistant.
3. Dans le flux de dialogue de la compétence, ajoutez un composant OAuth 2.0 Account Link (pour le mode de dialogue visuel) ou System.OAuth2AccountLink (pour le mode YAML).
4. Dans le composant, configurez le traitement du consentement de l'utilisateur pour stocker les données d'identité unifiées de l'utilisateur.

L'ID utilisateur unifié d'un utilisateur donné est défini la première fois que l'utilisateur accède à l'assistant numérique et s'authentifie avec une autorisation à l'aide du composant OAuth 2.0. C'est-à-dire que l'identité authentifiée initiale devient le " point de vérité ". Tous les ID compte de canal pour le même utilisateur authentifié OAuth 2.0 sont associés à l'ID utilisateur unifié.

Vous pouvez activer la liaison de compte de canal pour permettre la reconnaissance des identités d'utilisateur sur plusieurs canaux d'une compétence. Par exemple, si un utilisateur démarre une conversation dans un canal et attend une réponse, il peut également recevoir une notification de cette réponse dans l'autre canal.

Pour activer la liaison de canal :

1. Cliquez sur pour ouvrir le menu latéral, puis sélectionnez Settings > Unified Identity Services.
2. Réglez le commutateur Liaison de compte de canal à Activé.

Lorsque vous avez activé la liaison de compte de canal, vous pouvez configurer la façon de gérer le consentement de l'utilisateur pour chaque compétence individuellement, à l'aide de la propriété requiresAssociationConsent du composant OAuth 2.0 Lien de compte de la compétence. Voici les options :

• Yes : Présente à l'utilisateur les choix de consentement suivants pour l'association des données de compte de canal à un ID utilisateur unifié :
  • Associer un compte. Confirme que l'utilisateur a approuvé la liaison de l'identité de canal courante avec l'ID utilisateur unifié centralisé.
  • Ne jamais lier ce compte. Indique que ce compte de canal spécifique ne doit pas être associé à l'ID utilisateur unifié. L'utilisateur n'est pas ensuite invité à lier ce compte à l'avenir (bien que l'utilisateur puisse ultérieurement annuler cette décision).
  • Pas pour le moment. Ne lie pas les comptes de la session en cours, mais n'empêche pas l'utilisateur d'être invité à l'approbation dans les sessions suivantes. L'invite de consentement est temporairement supprimée après que l'utilisateur a sélectionné cette option, mais elle peut réapparaître lorsque l'utilisateur s'authentifie à nouveau plus de 24 heures plus tard.
• No . Le compte de canal d'utilisateur est automatiquement lié à l'ID utilisateur unifié sans que l'utilisateur soit invité à donner son consentement.
• Notify. Le compte de canal d'utilisateur est automatiquement lié au code d'utilisateur unifié et l'utilisateur est avisé de ce fait.

La valeur par défaut de la propriété est Yes.

Il existe un jeu d'invites et de messages qui s'affichent dans la conversation lorsqu'un utilisateur est avisé que ses informations d'identité de compte de canal sont liées à une identité d'utilisateur unifiée ou s'il reçoit des options de consentement. Vous pouvez ajuster le phrasé de ces invites dans les messages de l'ensemble de ressources de la compétence.

Pour accéder à ces invites et messages particuliers dans l'ensemble de ressources :

1. Dans la compétence, cliquez sur pour ouvrir l'ensemble de ressources.
2. Sélectionnez l'onglet Configuration.
3. Dans le champ Filtre, entrez OAuthAccount2Link - consent pour afficher les entrées d'ensemble liées au consentement.

La durée pendant laquelle les données d'identité unifiées de l'utilisateur sont stockées est définie au niveau de l'instance.

Pour configurer la durée de stockage de ces données :

1. Cliquez sur pour ouvrir le menu latéral, puis sélectionnez Settings > Unified Identity Services.
2. Réglez Supprimer les données du compte de canal de l'utilisateur après la période de conservation spécifiée à Activé.

   Si elle n'est pas activée, les données du compte de canal de l'utilisateur seront conservées indéfiniment.

3. Dans Période de conservation pour les données d'utilisateur du compte de canal (en jours), entrez le nombre de jours pendant lesquels vous voulez que les données soient stockées.

   Le minimum est de 7 et le maximum est de 1100.

   Note
   
   Tâches pour épurer les données exécutées une seule fois toutes les 24 à 48 heures. Ainsi, selon l'heure du travail, les données peuvent être conservées jusqu'à 48 heures de plus que la période de conservation que vous désignez.