Configurer la liaison de comptes standard

​

Informations requises

• Configurez votre serveur de ressources UCP et ajoutez vos permissions UCP.
• Définissez votre serveur de ressources UCP comme public par défaut du locataire.
• Créez ou utilisez une connexion qui héberge les comptes de vos acheteurs : une connexion de base de données Auth0 ou une connexion d’entreprise à votre fournisseur d’identité existant. Si la plateforme d’agent est une application tierce, vous devez promouvoir la connexion au niveau du domaine.

​

Enregistrer la plateforme d’agents

1. Accédez à Dashboard > Applications > Applications et sélectionnez Create Application.
2. Sélectionnez le type d’application qui correspond au type de client de la plateforme d’agents. Choisissez Regular Web Application pour un client confidentiel, ou Native ou Single Page Web Application pour un client public. Utilisez l’URI de redirection fourni par la plateforme d’agents et, s’il s’agit d’un client confidentiel, ses identifiants du client.
3. Pour une plateforme d’agents qui ne vous appartient pas, comme Gemini, créez une application tierce. Activez l’option This application is owned by a third party. Enable stricter security controls. Dans la Management API, définissez is_first_party sur false et third_party_security_mode: strict.

​

Autoriser la plateforme d’agent à appeler votre serveur UCP

1. Accédez à Dashboard > Applications > APIs et sélectionnez votre serveur de ressources UCP.
2. Sélectionnez l’onglet Application Access.
3. Repérez l’application de la plateforme d’agent, autorisez-la et sélectionnez les permissions à accorder.

​

Flux de code d’autorisation

1. La plateforme d’agent lit vos métadonnées scopes_supported et affiche son propre écran de consentement.
2. La plateforme d’agent redirige l’acheteur vers le terminal /authorize de votre locataire avec un paramètre scope. Les clients publics envoient également un défi de code PKCE.
3. L’acheteur se connecte ou s’inscrit au moyen de la connexion universelle et, dans le cas des applications tierces, approuve l’accès sur l’écran de consentement.
4. Auth0 redirige l’acheteur vers la plateforme d’agent avec un code d’autorisation.
5. La plateforme d’agent échange le code contre un jeton d’accès auprès de /oauth/token. Les clients confidentiels s’authentifient à l’aide de leurs identifiants du client. Les clients publics envoient le vérificateur de code PKCE.

​

Utiliser le serveur UCP pour appeler des API internes

• Votre serveur de ressources UCP, que les plateformes d’agents appellent avec le jeton d’accès obtenu au moyen du flux d’autorisation.
• Votre API existante, que votre serveur UCP appelle au nom de l’acheteur.

​

Configurer l’échange de jetons OBO

1. Créez un client API personnalisé associé à votre serveur de ressources UCP. Réglez resource_server_identifier sur l’identifiant de votre serveur de ressources UCP.
2. Activez l’échange de jetons On-Behalf-Of sur le client API personnalisé.
3. Créez une autorisation client déléguée par l’utilisateur entre le client API personnalisé et votre API existante, puis accordez les permissions requises par votre serveur UCP.

​

Échanger le jeton de l’acheteur

curl --request POST \
  --url 'https://YOUR_AUTH0_DOMAIN/oauth/token' \
  --header 'Content-Type: application/json' \
  --data '{
    "grant_type": "urn:ietf:params:oauth:grant-type:token-exchange",
    "client_id": "YOUR_CUSTOM_API_CLIENT_ID",
    "client_secret": "YOUR_CUSTOM_API_CLIENT_SECRET",
    "subject_token": "UCP_ACCESS_TOKEN",
    "subject_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "requested_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "audience": "https://api.acme.example.com"
  }'

​

Prochaines étapes

• Métadonnées de découverte des permissions
• Échange de jetons On-Behalf-Of