Entenda a federação e o single sign-on

Na identidade federada, o provedor de identidade (IdP) de uma organização autentica um usuário e fornece uma afirmação (assertion) a uma parte confiante (relying party) administrada separadamente. O single sign-on (SSO) permite que um usuário acesse vários serviços por meio de uma sessão num provedor de identidade. O OAuth é principalmente um framework de autorização para acesso delegado; o OpenID Connect acrescenta uma camada de identidade sobre o OAuth 2.0. A parte confiante precisa validar as afirmações, o público (audience), o emissor (issuer) e os outros requisitos do protocolo.

A federação reduz o número de credenciais separadas, mas introduz relações de confiança e requisitos de configuração. Valide as assinaturas e os campos do protocolo, use redirecionamentos seguros e limite o escopo do acesso delegado. Não trate um access token do OAuth como uma afirmação de identidade, a menos que o protocolo e as regras de validação façam dele uma.