Configure uma concessão de portador de token da web OAuth JSON

A configuração de uma concessão de portador do Token Web JSON (JWT) do OAuth protege a autenticação baseada em token sem interação do usuário. Aprimora a segurança com JWTs assinados e reduz a sobrecarga de autenticação, eliminando tentativas de login repetidas.

Antes de Iniciar

Função necessária: oauth_admin, mi_admin, admin

Os algoritmos compatíveis para JSON Web Token (JWT): RS256, RS384, RS512, ES256, ES384, ES512, HS256, HS384 E HS512.

Procedimento

1. Navegar até Console de identidade da máquina > > Integrações de entrada > > Nova integração > Concessão do portador JWT.
2. Atualize os campos de texto no formulário Detalhes com as informações apropriadas.

   Tabela 1. Formulário de detalhes

   Campo	Descrição
   Nome	Um nome exclusivo que identifica a aplicação para o qual você solicitou acesso ao JWT OAuth.
   Nome do provedor	Insira o nome do provedor de serviços com o qual você deseja integrar. Exemplo: Microsoft, Google, Zoom, SAP, etc. Nota: O nome do provedor é um campo obrigatório.
   ID do cliente	O ID exclusivo da aplicação, gerado automaticamente. O sistema usa o valor deste campo para recuperar a chave pública ou compartilhada e validar o JWT. O valor deste campo deve corresponder ao valor das declarações do emissor e do público no JWT.
   Segredo do cliente	A cadeia de caracteres do segredo compartilhado que a instância e a aplicação cliente ou site usam para autorizar as comunicações entre si. Deixe este campo em branco para que a instância gere um segredo do cliente automaticamente. Para exibir segredos existentes do cliente, clique no ícone de cadeado.
   Campo Usuário	Campo na tabela Usuário (sys_user) que o sistema usa para corresponder ao valor da declaração do assunto no JWT. Exemplo: Se você adicionar um token que tenha um valor de declaração de assunto de [e-mail], defina Campo do usuário . E-mail . Este campo informa ao sistema para pesquisar o campo de e-mail para o valor nome.usuá[e-mail] e usar o registro de usuário correspondente na solicitação de entrada.
   Habilitar a verificação de JTI	Selecione para exigir um novo token a cada troca de token. Padrão: selecionado.
   URL JWKS	URL do conjunto de chaves da Web JSON. É uma coleção de chaves públicas no formato JSON. Os provedores de identidade publicam um JWKS em um URL conhecido para que as aplicações e serviços cliente possam recuperar as chaves e validar as assinaturas de tokens da Web JSON (JWTs).
   Declaração JTI	Identificador exclusivo para cada token. A ServiceNow usa esta declaração para detectar e impedir a repetição do token verificando se um token não foi reutilizado.
   Comentários	Adicione comentários relevantes.
   Mapa do verificador JWT	Especifique o provedor de identidade, o método de verificação (como um URL ou certificado JWKS) e o mapeamento de declarações JWT para campos de usuário da ServiceNow. Clique no ícone de adição para adicionar ou editar os mapas. Forneça os seguintes detalhes em Mapa do verificador JWT página: Nome- O nome exclusivo da configuração do mapa do verificador JWT. Aplicação - A aplicação em que o mapa do verificador é usado. ID da chave - O identificador da chave usada para validar a assinatura JWT. Certificado do sistema - O registro de certificado da ServiceNow usado para verificação de token Chave compartilhada - Uma chave simétrica usada para validar tokens.
   Ativo	Marque a caixa de seleção para ativar a aplicação OAuth.

3. Atualize os campos de texto no formulário Opções avançadas (opcional) com as informações apropriadas.

   Tabela 2. Formulário Opções avançadas (opcional)

   Campo	Descrição
   Impor restrição de token	Selecione para permitir somente o uso de tokens com as APIs definidas a fim de ativar o perfil de autenticação. Você pode definir a concessão de acesso usando uma política de acesso à API. Padrão: não selecionado.
   Vida útil do cache JWKS	A duração (em minutos) durante a qual a ServiceNow armazena em cache o JSON Web Key Set (JWKS) do provedor de identidade.
   Vida útil do token de acesso	A duração (em segundos) durante a qual o token de acesso permanece válido antes de expirar.
   Distorção do relógio	Pequenas diferenças nos relógios do sistema de servidores ou dispositivos envolvidos na geração e validação de um token podem levar a problemas ao validar declarações sensíveis ao tempo. Ajuste o tempo acima. O valor padrão é: 0 segundos.

4. Atualize os campos de texto no formulário Escopo de autenticação (opcional) com as informações apropriadas.
   Nota:

   Quando você seleciona um Escopo de autenticação , Todas as APIs associadas são preenchidas automaticamente no Autorização de limite caixa de texto.

   Tabela 3. Formulário Escopo de autenticação

   Campo	Descrição
   Escopo de autenticação	Nível de acesso de uma aplicação. O escopo de autenticação restringe as ações que um token de acesso pode executar em APIs ou dados.
   Autorização de limite	Nomes das APIs para as quais você deseja restringir a autorização.
   Permitir acesso somente a APIs no escopo selecionado	Habilite a opção para que a integração acesse somente APIs listadas explicitamente nos escopos selecionados.

   1. Selecione Adicione outra linha para adicionar escopos de autenticação.
   2. Selecione Criar novo escopo de autenticação para adicionar um novo escopo de autenticação.
      Insira o nome do escopo de autenticação em Campo Escopo Caixa de texto para selecionar o escopo de autenticação recém-criado. Você pode adicionar e editar manualmente as APIs que precisam ser associadas ao novo escopo de autenticação.

      Nota:

      Adição ou edição de APIs do Escopo de autenticação O menu afeta todas as entidades OAuth associadas ao mesmo escopo de autorização.
5. Atualize os campos de texto no formulário Opções avançadas (opcional) com as informações apropriadas.

   Tabela 4. Formulário Opções avançadas (opcional)

   Campo	Descrição
   Impor restrição de token	Selecione para permitir somente o uso de tokens com as APIs definidas a fim de ativar o perfil de autenticação. Você pode definir a concessão de acesso usando uma política de acesso à API. Padrão: não selecionado.
   Vida útil do cache JWKS	A duração (em minutos) durante a qual a ServiceNow armazena em cache o JSON Web Key Set (JWKS) do provedor de identidade.
   Vida útil do token de acesso	A duração (em segundos) durante a qual o token de acesso permanece válido antes de expirar.
   Distorção do relógio	Pequenas diferenças nos relógios do sistema de servidores ou dispositivos envolvidos na geração e validação de um token podem levar a problemas ao validar declarações sensíveis ao tempo. Ajuste o tempo acima. O valor padrão é: 0 segundos.
   Formato do token	Formato do token a ser gerado. Opções: JWT Opaco Nota: O url do jwks está disponível no local: api/now/oauth/jwks . O padrão girado (chaves inativas) da resposta do jwks após é removido após 105 dias.

6. Selecione Save (Salvar).
   Uma nova concessão de portador do token da Web JSON OAuth é criada.
7. Ir para Tudo > Integrações de entrada > Registros das aplicações Para exibir a concessão de portador JWT recém-criada.