Workflow d’octroi de jeton Web JSON

Utilisez ce flux lorsqu’une application cliente a besoin d’un accès sécurisé et non assisté à des ServiceNow ressources, soit en tant qu’elle-même, soit pour le compte d’un utilisateur.

Avant de commencer

Rôle requis : oauth_admin, mi_admin, admin

Pourquoi et quand exécuter cette tâche

L’application cliente génère un JWT signé avec des revendications liées à l’identité telles que l’utilisateur ou le système qu’elle représente. L’application cliente envoie le JWT à l’instance pour demander un jeton d’accès ServiceNow .

• Lorsque vous agissez au nom d’un utilisateur :

  Le jeton représente un utilisateur précédemment authentifié. Il permet un accès sécurisé et transparent sans avoir à demander à l’utilisateur des informations d’identification ou son consentement. ServiceNow Fait confiance à la demande en validant l’identité de l’utilisateur à partir du jeton signé, éliminant ainsi le besoin d’interaction en temps réel de l’utilisateur.

• Lorsqu’il agit en son propre nom :

  Le jeton identifie et authentifie l’application cliente. Au lieu d’utiliser un secret partagé, l’application signe le jeton avec une clé privée. Il s’agit d’une alternative plus sécurisée à l’octroi d’informations d’identification du client.

Figure 1. Workflow d’octroi JWT

Procédure

1. L’application cliente envoie une demande de jeton à ServiceNow, avec un JWT signé avec sa clé privée.
2. ServiceNow valide le JWT à l’aide de la clé publique correspondante.
   Il mappe la revendication de sous-objet (objet) dans le jeton à un enregistrement sys_user .
3. ServiceNow valide le JWT et émet le jeton d’accès.
4. Le client inclut le jeton d’accès dans les demandes d’API vers ServiceNow.
5. ServiceNow valide le jeton d’accès et renvoie la réponse API appropriée.