owin - OpenID Connect 中的公钥

Question

我目前正在尝试使用 IdentityServer4 为我拥有的不同应用程序的用户构建单点登录体验。它们都托管在同一个本地网络中，没有第三方应用程序对其进行身份验证。客户端应用程序仍然基于 Katana/Owin。

我正在使用隐式工作流。

目前我仍然使用运行时随机生成的证书来签署 token 。

我想知道

• 我是否真的需要更多以及保持原样的含义是什么以及
• 签名实际上是如何被客户验证的。

对于第二个问题，我在 openidconnect 规范中找到了这篇文章:

The OP advertises its public keys via its Discovery document, or may supply this information by other means. The RP declares its public keys via its Dynamic Registration request, or may communicate this information by other means.

那么这是否意味着 Katana 实际上是从 IdentityServer4 获取公钥并相应地进行验证？如果是这样，证书更改是否重要？发行和验证 token 之间的时间总是非常短，对吗？那么，为什么我需要一个适当的、很少更改的证书？

Answer 1

在应用程序启动时生成新证书有一些缺点:

• 如果您重新启动您的 IDS4 进程，您实际上会使任何其他有效的 token 失效，因为签名将不再有效
• 无法横向扩展 - 所有服务器都需要具有相同的签名和验证 key
• 客户端可能只会定期更新他们的发现信息，因此您需要允许一个滚动周期，IDS4 支持这一点，因为您可以拥有多个验证 key 。

请参阅此处的指南:http://docs.identityserver.io/en/release/topics/crypto.html

下一个最简单的选择是使用安装在主机证书存储中的自行颁发的证书。