<div dir="ltr"><div dir="ltr"><div dir="ltr"><div><br clear="all"></div></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hi <span class="gmail_default" style="font-family:monospace"> Henri, </span></blockquote><div><br></div><div class="gmail_default" style="font-family:monospace">Thanks for the reply. </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><br>
<br>Are you using the resource-parameter in the authentication request? The <br>
RFC says that RP needs to request the additional resources with that <br>
parameter. The audience needs to be in the JSON metadata. The value is <br>
the same in both requested resource and metadata audience. Also remember <br>
to add that as trusted entry in the metadata, i.e. make a record that <br>
has client_id with the value.<br>
<br>
I forgot to mention in my previous email that you need to also enable <br>
OAUTH2.TokenAudience in the relying-party.xml, for instance in the <br>
following way for shibboleth.DefaultRelyingParty:<br>
<br>
<bean parent="OAUTH<span class="gmail_default" style="font-family:monospace"></span>2.TokenAudience" p:accessTokenType="JWT" <br>
p:encryptionOptional="true"/><br>
<br></blockquote><div><span class="gmail_default" style="font-family:monospace">My bad. the parameter was missing in the authentication request</span> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><br>
<span class="gmail_default" style="font-family:monospace"></span>UserInfo is the OIDC-way to fetch the claims. By using the resource <br>
indicator, you may add additional trusted resources as audience to the <br>
JWT access token. That makes the access token to be exploitable by those <br>
resources and they will contain the claims too.<br>
<br></blockquote><div><span class="gmail_default" style="font-family:monospace">It is working, like you mentioned. Thanks </span> </div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
In the default case, why would you want to add email in the access <br>
token? As by default the JWT access token is solely targeted to OP <br>
itself (via audience), nobody else shouldn't be exploiting its contents.<br>
<br></blockquote><div class="gmail_default" style="font-family:monospace">Because the application from a third party, that we are integrating with our OIDC OP, needs to get the email claim from the acessToken. Does it make sense? It should be like this?</div><div class="gmail_default" style="font-family:monospace"></div><div class="gmail_default" style="font-family:monospace"><br></div><div class="gmail_default" style="font-family:monospace">Thank you very much for all your support </div><div class="gmail_default" style="font-family:monospace">Best regards. </div><div class="gmail_quote"><br></div><div class="gmail_quote"><br></div><br><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
BR,<br>
Henri.<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div></div>
</div>