Identity Server

Índice da série

Este conteúdo faz parte de uma pequena série. Por isso, vale conhecer a ordem dos artigos:

• Identity Server (este artigo)
• Criando seu primeiro Identity Server

O que é o Identity Server

O Identity Server, ou servidor de identidade, é um framework que implementa os protocolos OpenID Connect e OAuth 2.0 para o ASP.NET Core. Na prática, ele roda como um middleware dentro de uma aplicação ASP.NET Core e transforma essa aplicação em um servidor de tokens.

A documentação da Microsoft sobre autenticação descreve o IdentityServer como um framework open source para diversos cenários de autenticação e autorização. Entre eles está a emissão de tokens de segurança para usuários locais do ASP.NET Core Identity.

A seguir, vamos passar pelas principais funcionalidades que ele oferece.

Autenticação no cenário atual e o papel do Identity Server

Um cenário comum hoje, embora não seja uma regra, envolve diversas aplicações e APIs conversando com nossos servidores, como mostra a imagem abaixo.

Nesse cenário, o navegador se comunica com a aplicação web renderizada no servidor. Da mesma forma, uma página dessa aplicação pode fazer uma requisição para uma API, também no servidor.

Note que, internamente, também existe comunicação entre a aplicação web e qualquer outra API de que ela precise para compor uma resposta.

Por fim, aplicações nativas e outros servidores, como serviços externos, também consomem a nossa API. Por sua vez, tanto a API quanto a aplicação web usam outras APIs internas.

Inicialmente, o cenário pode parecer confuso. Contudo, pense que esses itens agem de forma independente e podem se comunicar entre si.

Na primeira camada, onde ficam as aplicações (navegador, desktop, mobile e até APIs externas), precisamos implementar autenticação. Afinal, muitos usuários só podem ver os próprios dados ou não podem acessar determinadas informações.

A proposta do Identity Server é justamente centralizar esse recurso comum entre as aplicações, a autenticação. Imagine precisar escrever um processo de login para cada uma delas.

Essa seria uma visão do mesmo diagrama de forma mais estruturada. Nela, um servidor de autenticação centraliza o processo, e os protocolos como OAuth 2.0 organizam a comunicação.

Protocolos de autenticação

A documentação da Microsoft sobre aplicações cloud native cita três protocolos comuns de autenticação, o SAML2p, o WS-Federation e o OpenID Connect. Já a comunicação com APIs normalmente usa o OAuth 2.0 e seus tokens de segurança.

Identity Server no ASP.NET Core

O Identity Server é uma implementação do OpenID Connect e do OAuth 2.0 no formato de middleware para o ASP.NET Core. Basicamente, qualquer lógica dentro das APIs ou aplicações não afeta a implementação do servidor, porque ele abstrai apenas a parte de autenticação.

Esse middleware expõe endpoints padronizados. Entre eles estão o de autorização (autenticar o usuário), o de token, o de descoberta (metadados do servidor), o de informações do usuário, o de introspecção, o de revogação e o de encerramento de sessão.

Na aplicação, a configuração acontece no pipeline do ASP.NET Core. O exemplo abaixo mostra a estrutura básica de um servidor com IdentityServer4 no modelo de Startup da época, com clientes, recursos e escopos em memória:

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services
            .AddIdentityServer()
            // Credencial de assinatura apenas para desenvolvimento
            .AddDeveloperSigningCredential()
            .AddInMemoryIdentityResources(Config.IdentityResources)
            .AddInMemoryApiScopes(Config.ApiScopes)
            .AddInMemoryClients(Config.Clients);
    }

    public void Configure(IApplicationBuilder app)
    {
        // Adiciona os endpoints do OpenID Connect e do OAuth 2.0 ao pipeline
        app.UseIdentityServer();
    }
}

A ordem importa nesse pipeline. Segundo a documentação da Microsoft, o UseIdentityServer precisa vir antes do framework de interface que implementa a tela de login.

O passo a passo completo, com templates e o primeiro cliente, está no próximo artigo da série, criando seu primeiro Identity Server. Além disso, se você quer comparar com a validação de tokens direto na API, veja autenticação e autorização com JWT e Bearer no ASP.NET 7.

Terminologia do Identity Server

Antes de criar o primeiro servidor, é importante dominar alguns termos que aparecem em toda a documentação.

Usuário ou user: o usuário é a pessoa que utiliza um cliente registrado para obter acesso a um recurso.

Cliente ou client: o cliente é o software que requisita tokens ao Identity Server, seja para autenticar pessoas, seja para acessar outros serviços. Um cliente deve estar registrado no servidor de identidade antes de requisitar um token.

Recursos ou resources: os recursos são as informações que queremos proteger com o servidor de identidade. Todo recurso tem um nome único, e os clientes usam esse nome para indicar qual recurso querem acessar.

Identity data: as informações de identidade também recebem o nome de claims. Elas se referem ao usuário, como nome ou endereço de e-mail.

Identity token: o identity token é o resultado de um processo de autenticação. Ele contém o mínimo de identificação possível sobre o usuário, o chamado subject ou subject claim, além de informações sobre como e quando ele se autenticou.

Access token: o access token permite o acesso a um recurso. Os clientes requisitam tokens de acesso e os encaminham a cada requisição para as APIs.

Esses tokens contêm informações sobre o cliente e sobre o usuário, quando houver um. Então, a API usa essas informações para autorizar o acesso aos seus dados.

Especificações suportadas pelo Identity Server

O IdentityServer4 implementa um conjunto amplo de especificações. Portanto, ele se integra a clientes e bibliotecas de qualquer plataforma que sigam esses padrões.

Quando usar o Identity Server

O Identity Server faz mais sentido quando você tem várias aplicações e APIs que precisam compartilhar a mesma identidade. Além disso, ele brilha quando você precisa de SSO, de login social e de controle total sobre o servidor.

Por outro lado, para uma única API simples, validar um JWT diretamente pode bastar. Nesse caso, um servidor de identidade dedicado adiciona infraestrutura sem trazer muito ganho.

Também existem alternativas no ecossistema .NET. A Microsoft lista opções como OpenIddict e Keycloak, de código aberto, além de serviços gerenciados como Microsoft Entra ID, Auth0 e Okta.

Portanto, a escolha depende do número de aplicações, da necessidade de controle e do orçamento disponível para licenças ou serviços gerenciados.

Conclusão

O Identity Server centraliza a autenticação de aplicações web, SPAs, apps móveis e APIs em um único servidor baseado em OpenID Connect e OAuth 2.0. Com isso, você evita reescrever o login em cada aplicação e ganha SSO, federação com provedores externos e tokens padronizados.

Neste artigo, vimos o que é o Identity Server, os protocolos de autenticação, a terminologia e as especificações suportadas. No próximo passo da série, vamos colocar a mão no código e criar o primeiro servidor de identidade.

FAQ

O que é o Identity Server?

É um framework para ASP.NET Core que implementa OpenID Connect e OAuth 2.0. Ele centraliza a autenticação e a emissão de tokens para várias aplicações e APIs.

Qual a diferença entre OpenID Connect e OAuth 2.0?

O OAuth 2.0 trata do acesso a APIs por meio de tokens. Já o OpenID Connect adiciona uma camada de autenticação sobre ele.

O Identity Server substitui o ASP.NET Identity?

Não. O ASP.NET Identity gerencia usuários, senhas e perfis, enquanto o servidor de identidade emite tokens e pode usar o ASP.NET Identity como base de usuários.

O IdentityServer4 ainda é mantido?

Não. O suporte terminou em 2022, e a evolução do projeto seguiu como Duende IdentityServer.

APIs em outras linguagens podem usar o Identity Server?

Sim. Como ele segue padrões abertos, qualquer linguagem com biblioteca de OpenID Connect ou validação de JWT consegue se integrar.