ADFS는 discovery에 광고하지 않아도 PKCE를 강제한다 — negative-first로 실증하기
ADFS OIDC discovery에는 code_challenge_methods_supported 필드가 없다. 그렇다면 ADFS는 PKCE를 지원하지 않는 걸까? Native(public)+PKCE 흐름을 직접 던지고, ‘틀린 code_verifier를 먼저’ 보내는 negati...
Recent Posts
Entra ID 실측(3) — SAML 2.0 SP를 붙여 OIDC·OAuth와 나란히 세우기
OIDC·OAuth에 이어 세 번째 프로토콜 SAML을 Entra ID에 붙인다. 앱 등록이 아니라 엔터프라이즈 애플리케이션으로 등록하고, 직접 만든 python3-saml SP로 SP-initiated SSO를 건다. NameIDPolicy 거부(AADSTS750161)와 사용자...
Entra ID에 OIDC/OAuth 앱을 등록하고 confidential+PKCE를 실측하다 — 온프렘 ADFS와 같은 결론인가
온프렘 ADFS에서 확인한 ‘discovery에 광고 없어도 PKCE를 강제한다’는 결론이 클라우드 Entra ID에서도 성립하는지 검증한 기록. Entra ID 포털에서 Web(confidential) 앱을 등록하고 client secret·Graph 권한을 잡은 뒤, clien...
[ADFS] ADFS와 PKCE — 실무 관행과 RFC 9700 권고 사이의 간극
ADFS에 OIDC/OAuth 앱을 등록할 때 ‘OIDC=Server, OAuth=Native’가 프로토콜 규칙인지 관행인지 표준까지 추적한 기록. 앱 유형과 프로토콜이 직교한다는 점, openid가 id_token 스위치라는 점, 그리고 RFC 9700의 PKCE 권고와 ADFS...
[PKI] 오프라인 루트 CRL 배포 누락이 DMZ WAP에서 터지는 이유 — 체인 폐기검증 트러블슈팅
2-Tier PKI와 ADFS 팜을 세운 뒤 DMZ WAP에 반입한 SSL 인증서가 체인 검증에서 계속 False가 나온 원인 추적기. 방화벽 오진에서 시작해 certutil -verify로 중간 CA 폐기검증 실패를 짚고, 오프라인 루트 CRL 배포 누락이라는 근본 원인과 DMZ...