OAuth 2.0 regelt nur, ob eine Anwendung auf etwas zugreifen darf. OIDC ergänzt die Frage, wer der Nutzer ist: Der Identity Provider stellt ein ID-Token im JWT-Format aus, mit Angaben wie sub, email und name. Für SSO in neuen Anwendungen ist OIDC heute meist die erste Wahl vor SAML.
Die Einrichtung ist überschaubar: Client-ID, Client-Secret und Redirect-URI beim IdP anlegen, in der Anwendung die Issuer-URL eintragen. Alle weiteren Endpunkte holt sie aus dem Discovery-Dokument /.well-known/openid-configuration.
Häufige Fehler: Die Redirect-URI stimmt nicht Zeichen für Zeichen überein (redirect_uri_mismatch), der falsche Claim wird als Benutzername verwendet, oder abgelaufene Client-Secrets in Microsoft Entra ID legen die Anmeldung still.
Beispiel
curl -s https://id.example.com/realms/main/.well-known/openid-configuration