Pour pouvoir utiliser un composant OAuth2Client, OAuth2AccountLink ou OAuthAccountLink dans une brique, un administrateur doit inscrire une application confidentielle (également appelée client OAuth) avec OCI IAM ou OAM.

Pour savoir comment inscrire une application auprès d'OCI IAM, reportez-vous à Ajout d'une application confidentielle dans la documentation Oracle Cloud Infrastructure. Vous trouverez des informations sur l'inscription d'une application auprès d'OAM dans Configuration des services OAuth dans Administration d'Oracle Access Management.

Lorsque vous inscrivez une application (client) auprès d'OCI IAM ou d'OAM, vous devez fournir les informations suivantes :

• Types d'octroi autorisés : l'application doit utiliser le type d'octroi de code d'autorisation ou d'informations d'identification client.

• Portées ou rôles : incluent les ressources auxquelles vos composants personnalisés doivent accéder. Si vous incluez le type d'octroi de jeton d'actualisation, vous devez également ajouter la portée correspondante, offline_access pour OCI IAM.

• URL de réacheminement ou de callback : vous devrez fournir l'URL que le fournisseur d'identités utilise pour renvoyer le code d'autorisation. Certains fournisseurs d'identités font référence à cette URL de réacheminement ou à l'URL de callback. Afin de trouver les informations à utiliser pour l'URL de réacheminement, accédez à la page Canaux et ouvrez un canal de webhook ou Facebook (si vous n'en avez pas, créez-en un). Utilisez le domaine et le port de l'URL de webhook du canal (par exemple, https://<domain>:<port>/connectors/v2/tenants/<tenantId>/listeners/facebook/channels/<channelId>) pour créer l'URL de réacheminement, qui doit être au format https://<domain>:<port>/connectors/v2/callback. Par exemple, https://example.com:443/connectors/v2/callback.

  Si votre instance est provisionnée sur Oracle Cloud Platform (comme toutes les instances de la version 19.4.1), utilisez v1 au lieu de v2.

Si vous utilisez OAuth2Client ou OAuth2AccountLink pour l'authentification auprès du fournisseur d'identités, après avoir créé l'application (client OAuth), notez les informations d'identification client, le jeton de fournisseur d'identités et l'URL d'autorisation. Vous aurez besoin de ces informations lors de la création d'un service d'authentification comme décrit dans Services d'authentification.

Pour inscrire une application auprès de la plate-forme d'identité Microsoft, suivez les instructions fournies par Microsoft dans Démarrage rapide : Inscrire une application avec la plate-forme d’identités Microsoft.

Définissez le type d'application sur Web.

Vous devez fournir l'URL que la plate-forme utilise pour renvoyer le code d'autorisation. Afin de trouver les informations à utiliser pour l'URL, accédez à la page Canaux de l'assistant numérique et ouvrez un canal de webhook ou Facebook (si vous n'en avez pas, créez-en un). Utilisez le domaine et le port de l'URL de webhook du canal (par exemple, https://<domain>:<port>/connectors/v2/tenants/<tenantId>/listeners/facebook/channels/<channelId>) pour créer l'URL de réacheminement, qui doit être au format https://<domain>:<port>/connectors/v2/callback. Par exemple, https://example.com:443/connectors/v2/callback.

Une fois l'application inscrite, vous devez créer une clé secrète client comme décrit dans la rubrique Microsoft Créer un secret d'application. Cette clé secrète vous servira lors de la création d'un service d'authentification pour l'application.

Pour inscrire une application auprès de Google OAuth2, créez un projet et activez les API nécessaires comme indiqué dans la rubrique Google sur l'activation des API pour votre projet. Si vous prévoyez d'utiliser les composants de calendrier, veillez à activer les API Google Agenda et CalDAV.

Obtenez ensuite l'ID et la clé secrète client de l'application, comme décrit dans la rubrique Google sur la création des informations d'identification d'autorisation.

Sur l'écran de consentement OAuth, indiquez les portées sur lesquelles votre application aura besoin de droits d'accès. Pour plus d'informations, reportez-vous à la rubrique Google sur l'identification des portées d'accès.

Afin de créer un service d'authentification pour le type d'octroi Code d'autorisation sur OCI IAM, OAM, la plate-forme d'identité Microsoft et la plate-forme d'identité Google, procédez comme suit. Ce type d'octroi s'authentifie à l'aide du nom utilisateur et du mot de passe.

1. Cliquez sur Paramètres > Services d'authentification.
2. Cliquez sur + Service.
3. Sélectionnez le type d'octroi Code d'autorisation.
4. Entrez les valeurs suivantes :

   • Fournisseur d'identités : type de fournisseur d'identités que vous utilisez.

   • Nom : nom permettant d'identifier le service d'authentification.

   • URL endpoint de jeton : URL du fournisseur d'identités pour la demande de jetons d'accès.

     • OCI IAM : utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/token.

     • OAM : utilisez http://<Managed-Server-Host>:<Managed-Server-Port>/oauth2/rest/token.

     • Plate-forme d'identité Microsoft : utilisez https://login.microsoftonline.com/<Azure-Active-Directory-TenantID>/oauth2/v2.0/token.

     • Plate-forme d'identité Google : utilisez https://www.googleapis.com/oauth2/v4/token.

   • Adresse d'autorisation : URL du fournisseur d'identités pour la page avec laquelle les utilisateurs s'authentifient en entrant leur nom utilisateur et leur mot de passe.

     • OCI IAM : utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/authorize.

     • OAM : utilisez http://<host>:<port>/oauth2/rest/authz.

     • Plate-forme d'identité Microsoft : utilisez https://login.microsoftonline.com/<Azure-Active-Directory-TenantID>/oauth2/v2.0/authorize.

     • Plate-forme d'identité Google : utilisez https://accounts.google.com/o/oauth2/v2/auth.

   • URL courte de demande de code d'autorisation : (facultatif) version abrégée de l'URL d'autorisation, que vous pouvez obtenir auprès d'un service de raccourcissement d'URL (permettant d'envoyer des paramètres de requête). Vous aurez peut-être besoin de cette URL, car l'URL d'autorisation générée peut être trop longue pour les SMS et les anciens smartphones.

     Par défaut, les URL de demande de code d'autorisation pour chaque plate-forme sont les suivantes :

     • OCI IAM et OAM :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&state={state}

     • Plate-forme d'identité Microsoft :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&response_mode=query&state={state}

     • Plate-forme d'identité Google :

       {Authorization Endpoint URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&access_type=offline&prompt=consent&state={state}

     L'exemple ci-dessous illustre l'URL affichée dans un message texte :

     
     Description de l'image long-url.png

     Par exemple, vous pouvez obtenir une version abrégée de cette URL :

     {Authorization Endpoint
           URL}?client_id={clientId}&response_type=code&scope={scope}&redirect_uri={redirectUri}&state={state}

     A l'aide de l'URL courte de demande de code d'autorisation, Oracle Digital Assistant crée l'URL de demande de code d'autorisation telle que :

     {Short Authorization Code Request URL}?state={state}

   • Révoquer l'URL endpoint de jeton : (facultatif) si vous voulez révoquer tous les jetons d'actualisation et d'accès de l'utilisateur connecté dans un flux de dialogue, vous devez disposer de l'URL de révocation de jeton d'actualisation du fournisseur d'identités. Si vous fournissez cette URL, vous pouvez utiliser le composant Réinitialiser les jetons OAuth 2.0 afin de révoquer les jetons de l'utilisateur pour ce service.

     • OCI IAM : utilisez https://<IAM-Service-Instance>.identity.oraclecloud.com/oauth2/v1/revoke.

     • OAM : utilisez https://<host>:<port>/ms_oauth/oauth2/endpoints/<OAuth-Service-Name>/tokens.

     • Plate-forme d'identité Microsoft : non prise en charge.

     • Plate-forme d'identité Google : utilisez https://oauth2.googleapis.com/revoke.

   • ID client et clé secrète client : ID client et clé secrète client pour l'application de fournisseur d'identités (client OAuth) enregistrée comme décrit dans Inscription de fournisseur d'identités. Avec la plate-forme d'identité Microsoft, utilisez l'ID et la clé secrète de l'application.

   • Portées : liste des portées, séparées par un espace, à inclure lorsque Digital Assistant demande un jeton d'accès à partir du fournisseur. Incluez toutes les portées nécessaires pour accéder aux ressources. Si les jetons d'actualisation sont activés, incluez la portée nécessaire pour obtenir le jeton d'actualisation (en général offline_access).

     • OCI IAM : utilisez la portée urn:opc:idm:__myscopes__ lorsque vous devez obtenir un jeton d'accès contenant toutes les portées autorisées. Utilisez la portée urn:opc:idm:role.<roll-name> (par exemple, urn:opc:idm:role.User%20Administrator) lorsque vous devez obtenir un jeton d'accès contenant les portées applicables d'un rôle donné.

     • Plate-forme d'identité Microsoft : vous devez inclure openid email profile offline_access. Si vous prévoyez d'utiliser des composants de calendrier, vous devez inclure https://graph.microsoft.com/Calendars.ReadWrite. Pour les autres droits d'accès, utilisez le format https://graph.microsoft.com/<permission>. Remplacez <permission> par un nom de droit d'accès valide indiqué dans Référence des autorisations de Microsoft Graph.

     • Plate-forme d'identité Google : vous devez inclure https://www.googleapis.com/auth/userinfo.email, qui permet d'obtenir l'ID de connexion de l'utilisateur. Si vous prévoyez d'utiliser des composants de calendrier, vous devez inclure https://www.googleapis.com/auth/calendar. Pour les autres portées, reportez-vous à la page relative aux portées OAuth 2.0 pour les API Google.

   • Déclaration du sujet : déclaration de profil access-token à utiliser pour identifier l'utilisateur.

     • OCI IAM et OAM : il s'agit généralement de la déclaration sub (sujet). Toutefois, si la déclaration sub contient un ID utilisateur interne, cela n'est pas utile pour Digital Assistant. Dans ce cas, indiquez une déclaration de profil pouvant aider Digital Assistant à identifier l'utilisateur, comme email ou name.

     • Plate-forme d'identité Microsoft : utilisez preferred_username.

     • Plate-forme d'identité Google : utilisez email.

   • Durée de conservation du jeton d'actualisation : nombre de jours pendant lesquels le jeton d'actualisation est conservé dans le cache de Digital Assistant. Si vous laissez ce champ vide, la valeur par défaut est 7.

   
   Description de l'image auth-service-ac.png
5. Cliquez sur Créer.

Afin de créer un service d'authentification pour le type d'octroi Informations d'identification, procédez comme suit. Ce type d'octroi s'authentifie sur l'ID client et la clé secrète du client.

1. Cliquez sur Paramètres > Services d'authentification.
2. Cliquez sur + Service.
3. Sélectionnez le type d'octroi Informations d'identification client.
4. Entrez les valeurs suivantes :

   • Fournisseur d'identités : type de fournisseur d'identités que vous utilisez.

   • Nom : nom permettant d'identifier le service d'authentification.

   • URL endpoint de jeton : URL du fournisseur d'identités pour la demande de jetons d'accès.

   • ID client et clé secrète client : ID client et clé secrète client pour l'application de fournisseur d'identités (client OAuth) enregistrée comme décrit dans Inscription de fournisseur d'identités.

   • Portées : portées à inclure lorsque Digital Assistant demande un jeton d'accès à partir du fournisseur. Incluez toutes les portées nécessaires pour accéder aux ressources.

   
   

   
   Description de l'image auth-service-cc.png

   
   
5. Cliquez sur Créer.

Vous pouvez configurer des briques pour des identités utilisateur unifiées en procédant comme suit :

1. Activez la liaison de comptes de canal dans l'instance Digital Assistant.
2. Ajoutez un service de code d'autorisation dans votre instance Digital Assistant.
3. Dans le flux de dialogue de la brique, ajoutez un composant OAuth 2.0 Account Link (pour le mode de dialogue Visual) ou System.OAuth2AccountLink (pour le mode YAML).
4. Dans le composant, configurez la gestion du consentement utilisateur pour stocker les données d'identité utilisateur unifiées.

L'ID utilisateur unifié d'un utilisateur donné est défini la première fois que l'utilisateur accède à l'assistant numérique et s'authentifie avec une autorisation à l'aide du composant OAuth 2.0. C'est-à-dire que l'identité authentifiée initiale devient le "point de vérité". Tous les ID de compte de canal pour le même utilisateur authentifié OAuth 2.0 sont associés à l'ID utilisateur unifié.

Vous pouvez activer la liaison de comptes de canal pour permettre la reconnaissance des identités utilisateur sur plusieurs canaux d'une brique. Par exemple, si un utilisateur démarre une conversation dans un canal et attend une réponse, il peut également recevoir une notification de cette réponse dans l'autre canal.

Pour activer la liaison de canal :

1. Cliquez sur pour ouvrir le menu latéral et sélectionnez Paramètres > Services d'identité unifiés.
2. Activez la bascule Liaison de compte de canal.

Lorsque vous avez activé la liaison de compte de canal, vous pouvez configurer la gestion du consentement utilisateur pour chaque brique individuellement, à l'aide de la propriété requiresAssociationConsent du composant Lien de compte OAuth 2.0 de la brique. Vous disposez des options suivantes :

• Yes : présente à l'utilisateur les choix de consentement suivants pour l'association des données de compte de canal à un ID utilisateur unifié :
  • Compte associé. Confirme que l'utilisateur a approuvé la liaison de l'identité de canal en cours avec l'ID utilisateur unifié centralisé.
  • Ne jamais lier ce compte. Indique que ce compte de canal spécifique ne doit pas être associé à l'ID utilisateur unifié. L'utilisateur n'est pas invité par la suite à lier ce compte à l'avenir (bien que l'utilisateur puisse ensuite annuler cette décision).
  • Non pour le moment. Ne lie pas les comptes de la session en cours, mais n'empêche pas l'utilisateur d'être invité à approuver les sessions suivantes. L'invite de consentement est temporairement supprimée après que l'utilisateur a sélectionné cette option, mais elle peut réapparaître lorsque l'utilisateur s'authentifie à nouveau plus de 24 heures plus tard.
• No . Le compte de canal utilisateur est automatiquement lié à l'ID utilisateur unifié sans que l'utilisateur soit invité à donner son consentement.
• Notify. Le compte de canal utilisateur est automatiquement lié à l'ID utilisateur unifié et l'utilisateur en est informé.

La valeur par défaut de la propriété est Yes.

Un ensemble d'invites et de messages s'affiche dans la conversation lorsqu'un utilisateur est informé que ses informations d'identité de compte de canal sont liées à une identité d'utilisateur unifiée ou qu'il dispose d'options de consentement. Vous pouvez ajuster la formulation de ces invites dans les messages du groupe de ressources de la brique.

Pour accéder à ces invites et à ces messages particuliers dans le regroupement de ressources, procédez comme suit :

1. Dans la brique, cliquez sur pour ouvrir le groupe de ressources.
2. Sélectionnez l'onglet Configuration.
3. Dans le champ Filtre, entrez OAuthAccount2Link - consent pour afficher les entrées de bundle liées au consentement.

La durée de stockage des données d'identité utilisateur unifiées est définie au niveau de l'instance.

Pour configurer la durée de stockage de ces données, procédez comme suit :

1. Cliquez sur pour ouvrir le menu latéral et sélectionnez Paramètres > Services d'identité unifiés.
2. Définissez l'option Supprimer les données de compte de canal de l'utilisateur après la période de conservation indiquée sur Activé.

   Si elle n'est pas activée, les données de compte de canal de l'utilisateur seront conservées indéfiniment.

3. Dans Période de conservation des données utilisateur de compte de canal (en jours), entrez le nombre de jours pendant lesquels les données doivent être stockées.

   Le minimum est de 7 et le maximum est de 1100.

   Remarque
   
   Les travaux permettant de purger les données ne s'exécutent qu'une fois toutes les 24 à 48 heures. Ainsi, selon l'heure du travail, les données peuvent être conservées jusqu'à 48 heures de plus que la période de conservation que vous désignez.