概要

はじめに

1. クライアントから認可サーバーへのリクエストに含まれる (あるいは関連付けられる) スコープを取り出します。
2. 各スコープの属性 (補足 1. を参照) をチェックします。この時、Authlete 側では以下のような判定・処理が行われます。

   判定条件	Authelte の処理
   スコープが read-only 属性 (「キー = fapi」 かつ「値 = r」の属性) を持つ場合	read-only API のプロファイルに従う
   スコープが read-and-write 属性 (「キー = fapi」 かつ「値 = rw」の属性) を持つ場合	read-and-write API のプロファイルに従う
   それ以外の場合	通常の OAuth 2.0 / OpenID Connect の仕様に従う

サービスの設定

<read-only API プロファイルをサポートする場合>

<read-and-write API プロファイルをサポートする場合>

クライアントの設定

<read-only API プロファイルをサポートする場合>

<read-and-write API プロファイルをサポートする場合>

リクエスト

認可エンドポイントに対するリクエスト

<read-only API プロファイルにおけるリクエスト>

#
# public クライアントからの認可リクエストの例。 
#
# (注意)
#   * scope: accounts スコープは read-only 属性を持つものとする。
#   * state: 必須ではないが OAuth 2.0 の仕様により推奨される。
#   * nonce: OpenID Connect の仕様により response_type に
#      id_token を含む場合は必須。
#
GET /api/authorization?

response_type=code+id_token&
client_id=285946231596&
redirect_uri=https://my-client.com/callback&
scope=openid+accounts&
code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM&
code_challenge_method=S256&
state=mystate&
nonce=mynonce

<read-and-write API プロファイルにおけるリクエスト>

{
  "id_token": {
    "acr": {
      "essential":true,
      "values":["urn:mace:incommon:iap:silver"]
    }
  }
}

#
# confidential クライアントからの認可リクエストの例。
#
# (注意) 
#   * scope: payments スコープは read-and-write 属性を持つものとする。
#   * state: 必須ではないが OAuth 2.0 の仕様により推奨される。
#   * nonce: OpenID Connect の仕様により、response_type に
#      id_token を含む場合は必須。
#
GET /api/authorization?

response_type=code+id_token&
client_id=291985138172&
scope=openid+payments&
redirect_uri=https://my-client.com/callback&
state=mystate&
nonce=mynonce&
claims={"id_token":{"acr":{"essential":true,"values":["urn:mace:incommon:iap:silver"]}}}&
request=eyJh...[省略]...nPQ

トークンエンドポイントに対するリクエスト

<read-only API プロファイルにおけるリクエスト>

#
# public クライアントからのトークンリクエストの例。
#
POST /api/token

client_id=285946231596&
grant_type=authorization_code&
code=_vaXlQ_ItUX4hiWzXgOT-Jp9-oVPKGQ6Q6QZu_P2GXw&
redirect_uri=https://my-client.com/callback&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

<read-and-write API プロファイルにおけるリクエスト>

#
# confidential クライアントからのトークンリクエストの例。
#
# (注意)
#   * クライアント認証方式は PRIVATE_KEY_JWT を選択している想定。
#   * 以下では例示されていないが、「TLS クライアント証明書を紐付
#      けたアクセストークンの使用」が有効化されているため、クライ
#      アントはトークンエンドポイントに対してクライアント証明書を
#      提示する必要がある。
#
POST /api/token

client_id=291985138172&
grant_type=authorization_code&
code=YG-gD9v-vmnuKaHkRHcvWq1UxlxT_9vgj28ffxIAX40&
redirect_uri=https://my-client.com/callback&
client_assertion=eyJh...[省略]...OWg&
client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer

補足

1. スコープの属性

2. JARM

3. キーのサイズ対する要求事項

Financial Services – Financial API - Part 1, 5.2.2. Authorization Server

  The authorization server,
  ...
  5. shall require a key of size 2048 bits or larger if RSA
    algorithms are used for the client authentication;
  6. shall require a key of size 160 bits or larger if elliptic
    curve algorithms are used for the client authentication;

4. リクエストオブジェクトに対する要求事項

Financial Services – Financial API - Part 2, 5.2.2. Authorization Server

  The authorization server,
  ...
  1. shall require the request or request_uri parameter to be passed as a JWS signed JWT as in clause 6 of [OIDC];
  ...
  10. shall require that all parameters are present inside the signed request object passed in the request or request_uri parameter;
  ...
  13. shall require the request object to contain an exp claim;
  ...
  15. shall require the aud claim in the request object to be, or to be an array containing, the OP's Issuer Identifier URL;

Financial Services – Financial API - Part 2, 8.6 JWS algorithm considerations

  Both clients and authorization servers:
    1. shall use PS256 or ES256 algorithms;
    2. should not use algorithms that use RSASSA-PKCS1-v1_5 (e.g. RS256);
    3. shall not use none;

• クライアントの「リクエストオブジェクトの署名アルゴリズム」で指定されるアルゴリズム (PS256 または ES256) を用いて署名されていること。
• 全てのリクエストパラメーターを含むこと。
• exp クレームを含むこと。
• aud クレームを含み、その値としてサービスの「トークン発行者識別子」の値が指定されていること。

{
  "response_type": "code id_token",
  "exp": 1554973000,
  "aud": "https://my-authz-server.com/",
  "client_id": "291985138172",
  "scope": "openid payments",
  "redirect_uri": "https://my-client.com/callback",
  "state": "mystate",
  "nonce": "mynonce",
  "claims": {
    "id_token": {
      "acr": {
        "values": ["urn:mace:incommon:iap:silver"],
        "essential": true
      }
    }
  }
}