Wie lässt sich ein 'Headless' Identity Provider via OAuth2 und OpenID Connect für ein Single-Sign-On (SSO) über mehrere Storefronts hinweg integrieren?

Die Integration eines Headless Identity Providers (IdP) basiert auf der strikten Trennung von Identitätsmanagement und der Präsentationsschicht. Wir setzen hierfür den OpenID Connect (OIDC) Standard ein, der als Identitätsschicht auf dem OAuth2-Framework aufbaut.

Für die Implementierung über mehrere Storefronts hinweg nutzen wir den Authorization Code Flow mit PKCE (Proof Key for Code Exchange). Dieser Flow verhindert das Abfangen von Autorisierungscodes in Public Clients (wie Single-Page-Applications oder mobilen Apps), da jeder Request mit einem kryptografischen Geheimnis verknüpft wird, das erst beim Token-Austausch validiert wird.

Der technische Ablauf gestaltet sich wie folgt:

1. Redirect: Die Storefront leitet den Nutzer an den /authorize Endpunkt des IdP weiter.
2. Authentifizierung: Der Nutzer meldet sich beim IdP an. Der IdP setzt ein Session-Cookie im Browser des Nutzers.
3. Code-Rückgabe: Nach erfolgreichem Login leitet der IdP den Nutzer mit einem temporären code an die Storefront zurück.
4. Token-Austausch: Die Storefront tauscht diesen Code gegen ein Set von Tokens ein.

Die folgende Tabelle definiert die verwendeten Token-Typen:

Das Single-Sign-On (SSO) wird dadurch realisiert, dass der IdP die zentrale Session-Instanz hält. Wenn der Nutzer von Storefront A zu Storefront B wechselt, initiiert Storefront B ebenfalls einen OIDC-Flow. Da der Browser bereits das Session-Cookie des IdP besitzt, erkennt der IdP den Nutzer sofort und leitet ihn ohne erneute Passworteingabe direkt mit einem neuen Code zurück an Storefront B.

Die Architektur erfordert eine präzise Abstimmung der Redirect-URIs und der Client-IDs pro Storefront, was wir im Rahmen unserer IT-Consulting & Digitale Strategie planen und absichern.

Wir empfehlen den konsequenten Verzicht auf proprietäre Session-Brücken zwischen den Storefronts und die ausschließliche Nutzung von standardisierten OIDC-Bibliotheken, um die Sicherheit zu maximieren und die Kopplung zwischen den Systemen minimal zu halten.