Scrydon comme fournisseur d'identité
Utilisez Scrydon comme fournisseur d'identité OAuth 2.1 / OIDC pour vos propres applications — connectez les utilisateurs avec leur compte Scrydon et appelez les API Scrydon en leur nom.
Scrydon est un fournisseur d'identité OAuth 2.1 / OpenID Connect complet. Toute application que vous créez — outils internes, SaaS destiné aux clients, copilotes IA, applications mobiles — peut utiliser Scrydon pour connecter les utilisateurs et obtenir des jetons d'accès scopés pour les API Scrydon (workflows, stockage, connaissances et complétions LLM gouvernées).
Le fournisseur d'identité est accessible via l'onglet Identité de Paramètres → Plateforme → Identité. Cette page affiche les URL de points de terminaison exactes pour votre tenant.
Copiez toujours les URL des points de terminaison depuis l'onglet Identité dans l'interface. Le nom d'hôte est spécifique au tenant — chaque déploiement déclare sa propre URL d'auth publique (PUBLIC_AUTH_URL), et l'interface affiche exactement cette valeur. Taper les noms d'hôtes manuellement (auth.<tenant>.scrydon.com, api-platform.<tenant>...) peut souvent pointer vers le mauvais hôte et retourner une erreur 404.
Points de terminaison
Scrydon implémente la surface standard OIDC / OAuth 2.1. Tous les points de terminaison se trouvent sous /api/auth/ sur l'hôte d'auth.
| Objectif | Chemin |
|---|---|
| Découverte OIDC | /api/auth/.well-known/openid-configuration |
| JWKS (clés de signature publiques) | /api/auth/.well-known/jwks |
| Autorisation | /api/auth/oauth2/authorize |
| Échange de jeton | /api/auth/oauth2/token |
| Userinfo | /api/auth/oauth2/userinfo |
| Introspection de jeton (RFC 7662) | /api/auth/oauth2/introspect |
| Révocation de jeton (RFC 7009) | /api/auth/oauth2/revoke |
| Enregistrement dynamique de client (RFC 7591) | /api/auth/oauth2/register |
La plupart des bibliothèques de partie utilisatrice (RP) n'ont besoin que de l'URL de découverte — elles récupèrent tout le reste depuis le document de découverte.
Flux pris en charge
Scrydon prend en charge l'ensemble des fonctionnalités OAuth 2.1 / OIDC requises pour les applications d'entreprise :
- Authorization Code + PKCE — recommandé pour toutes les applications interactives (web, SPA, mobile, CLI).
- Client Credentials — pour l'automatisation backend à backend en l'absence d'utilisateur.
- Jetons de rafraîchissement — accès hors ligne longue durée, rotation imposée.
- ID tokens — JWT signés portant l'identité de l'utilisateur ; décodez avec le JWKS.
- Revendications personnalisées — Scrydon injecte le contexte tenant / espace de travail / environnement dans les ID tokens pour les applications que vous enregistrez.
Enregistrer un client OAuth (Mini App)
Toute application souhaitant utiliser Scrydon comme fournisseur d'identité a besoin d'un ID client. Vous en créez un depuis l'interface — Scrydon les appelle des Mini Apps :
Ouvrir Applications enregistrées
Accédez à Paramètres → Organisation → Applications enregistrées et cliquez sur Enregistrer une Mini App.
La liste affiche 50 applications par page, les plus anciennes en premier ; son champ de recherche trouve les noms d'applications sur toutes les pages, pas seulement sur celle qui est affichée.
Remplir le formulaire
- Nom de l'application — tout libellé lisible par l'homme.
- Portée — ce à quoi le client est rattaché :
- Espace de travail · Accès API — pour les applications qui appellent les API Scrydon au nom d'un utilisateur. Choisissez un espace de travail ; chaque environnement de cet espace de travail obtient son propre ID client afin que vous puissiez émettre des informations d'identification distinctes pour le développement / la préproduction / la production.
- Organisation · SSO uniquement — pour la connexion pure (par ex. protéger un site avec oauth2-proxy). Un seul client à l'échelle de l'organisation, restreint aux scopes d'identité (
openid,profile,email) — pas d'espace de travail, pas d'accès API.
- Type de client :
- Public · PKCE — SPA, applications mobiles, CLI. Aucun secret client n'est émis ; le flux de code d'autorisation s'exécute avec PKCE.
- Confidentiel · secret client — applications côté serveur et proxys capables de conserver un secret. Le
client_secretest affiché une seule fois après l'enregistrement et peut être renouvelé plus tard depuis le panneau de détail de l'application.
- URI de redirection — l'URL à laquelle votre application reçoit le code d'autorisation. Par défaut
http://localhost:3000/callbackpour le développement local (obligatoire pour les applications SSO — pointez-la vers le callback de votre passerelle). - Scopes autorisés (portée espace de travail uniquement) — choisissez ce que votre application est autorisée à demander, au format
resource:action(lecture et/ou écriture par ressource). Ressources :chat,workflows,storage,knowledge,templates,tools,logs(par ex.knowledge:read,workflows:write) ;:writeimplique:read. Vous pouvez toujours demanderopenid,profile,emailen plus.
Copier les informations d'identification
Pour les applications à portée espace de travail, vous verrez un ID client par environnement — le plugin émet des IDs par environnement afin qu'une fuite en préproduction ne puisse pas être rejouée contre la production. Les applications SSO à portée organisation obtiennent un seul ID client à l'échelle de l'organisation.
Pour les clients confidentiels, le secret client est affiché exactement une fois — copiez-le immédiatement. Scrydon ne stocke qu'un hachage ; si le secret est perdu, renouvelez-le depuis le panneau de détail de l'application.
Scrydon exige PKCE pour tous les clients. Les SPA, applications mobiles et CLI n'ont pas besoin (et ne reçoivent pas) de secret client. Choisissez un client confidentiel pour les applications côté serveur (oauth2-proxy, applications web backend) qui s'authentifient auprès du point de terminaison de jeton avec client_secret_basic — un client confidentiel envoie PKCE en plus de son secret, comme le recommande OAuth 2.1 (pour oauth2-proxy, définissez --code-challenge-method=S256). L'automatisation backend-à-backend sans utilisateur peut utiliser le flux d'informations d'identification client ; contactez le support pour l'activer sur votre tenant.
Les applications enregistrées avant le 2026-10-07 sont corrigées automatiquement. Jusqu'à cette date, Scrydon n'enregistrait pas le type de client d'une application : chaque application était stockée sans sa méthode d'authentification au point de terminaison de jeton et sans son indicateur PKCE. La mise à niveau de la plateforme rétablit les deux à partir du secret stocké de l'application — une application avec un secret client devient confidentielle (client_secret_basic), une application sans secret devient publique — et enregistre PKCE comme obligatoire pour chaque application, ce que Scrydon appliquait déjà. Vous n'avez rien à réenregistrer. Une exception : un environnement ajouté à une application confidentielle avant cette date a été créé sans secret. Il reste confidentiel ; renouvelez donc son secret depuis le panneau de détail de l'application avant de l'utiliser dans cet environnement.