概要

client_secret_jwt はクライアント認証方式のひとつです。OpenID Connect Core 1.0, 9. Client Authentication にて定義されています。

トークンリクエストにおいて、クライアントはメッセージ認証コード (MAC; Message Authentication Code) を署名部に含む JWT 形式のアサーションを生成し、リクエストに含めます。そして認可サーバーは、そのアサーションの署名とペイロードを検証し、クライアント認証を行います。

アサーションとして送信する JWT には署名・ペイロードに関していくつかの要件が定められており、認可サーバー側ではこの検証を行う必要があります。

認可サーバーは、client_secret_jwt 方式を用いたクライアント認証の処理を、Authlete に移管することができます。本記事ではこの方式の概要と、Authlete の設定手順について説明します。

client_secret_jwt の処理

クライアント側の処理

ペイロード

署名

• 署名は HMAC-SHA アルゴリズム  (HS256 など) を用いて計算すること
• 署名計算時にはクライアントシークレットを共通鍵として利用すること

認可サーバー側の処理

•  JSON Web Token (JWT) Profile for OAuth 2.0 Client Authentication and Authorization Grants (RFC7523)
• Assertion Framework for OAuth 2.0 Client Authentication and Authorization Grants (RFC7521)

  ---

 Authlete の設定

Authlete サービスの設定

クライアントの設定

クライアントアプリ開発者コンソールにアクセスし、以下のように設定してください。

タブ	項目	設定内容
基本情報	クライアントタイプ	CONFIDENTIAL
認可	クライアント認証方式	CLIENT_SECRET_JWT
認可	アサーション署名アルゴリズム	HS256, HS384, HS512 のいずれか

---

実行例

JWT アサーションの生成

JWT ペイロードの準備

{
  "jti":"myJWTId001",
  "sub":"38174623762",
  "iss":"38174623762",
  "aud":"http://localhost:4000/api/auth/token/direct/24523138205",
  "exp":1536165540,
  "iat":1536132708
}

JWT の生成

$ bin/jose-generator \
--payload-file payload.json \
--sign \
--signing-alg HS256 \
--signing-alg-key TzPTZDtcw9ek41H1VmofRoXQddP5cWCXPWidZHSA2spU6gZN9eIFUiXaHD7OfxtBhTxJsg_I1tdFI_CkKl8t8Q

eyJhbGciOiJIUzI1NiJ9.
ewogICJqdGkiOiJteUpXVElkMDAxIiwKICAic3ViIjoiMzgxNzQ2MjM3NjIiLAogIC
Jpc3MiOiIzODE3NDYyMzc2MiIsCiAgImF1ZCI6Imh0dHA6Ly9sb2NhbGhvc3Q6NDAw
MC9hcGkvYXV0aC90b2tlbi9kaXJlY3QvMjQ1MjMxMzgyMDUiLAogICJleHAiOjE1Mz
YxNjU1NDAsCiAgImlhdCI6MTUzNjEzMjcwOAp9Cg.
Vin3IxRPMLQ0SKNJ8Ba_59dYHBGLb4Ft-JLbJVKFd3E

トークンリクエストの実行

クライアントから認可サーバーへのトークンリクエスト

POST /token HTTP/1.1
Host: as.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&
code=Gw30fMKJBHkcOBSde5awLrMm4ahvgCNM2cFSTUOUflY&
redirect_uri=https://example.com/redirection&
client_assertion_type=
 urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&
client_assertion=
 eyJhbGciOiJIUzI1NiJ9.
 ewogICJqdGkiOiJteUpXVElkMDAxIiwKICAic3ViIjoiMzgxNzQ2MjM3NjIiLAogIC
 Jpc3MiOiIzODE3NDYyMzc2MiIsCiAgImF1ZCI6Imh0dHA6Ly9sb2NhbGhvc3Q6NDAw
 MC9hcGkvYXV0aC90b2tlbi9kaXJlY3QvMjQ1MjMxMzgyMDUiLAogICJleHAiOjE1Mz
 YxNjU1NDAsCiAgImlhdCI6MTUzNjEzMjcwOAp9Cg.
 Vin3IxRPMLQ0SKNJ8Ba_59dYHBGLb4Ft-JLbJVKFd3E

認可サーバーから Authlete への API リクエスト

$ curl -s -X POST https://api.authlete.com/api/auth/token \
-H 'Content-Type: application/json' \
-u '...:...' \
-d '{
  "parameters":"grant_type=authorization_code&
    code=Gw30fMKJBHkcOBSde5awLrMm4ahvgCNM2cFSTUOUflY&
    redirect_uri=https://example.com/redirection&
    client_assertion_type=
     urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&
    client_assertion=
     eyJhbGciOiJIUzI1NiJ9.
     ewogICJqdGkiOiJteUpXVElkMDAxIiwKICAic3ViIjoiMzgxNzQ2MjM3NjIiLAogIC
     Jpc3MiOiIzODE3NDYyMzc2MiIsCiAgImF1ZCI6Imh0dHA6Ly9sb2NhbGhvc3Q6NDAw
     MC9hcGkvYXV0aC90b2tlbi9kaXJlY3QvMjQ1MjMxMzgyMDUiLAogICJleHAiOjE1Mz
     YxNjU1NDAsCiAgImlhdCI6MTUzNjEzMjcwOAp9Cg.
     Vin3IxRPMLQ0SKNJ8Ba_59dYHBGLb4Ft-JLbJVKFd3E
}'

Authlete から認可サーバーへの API レスポンス

{
  "type":"tokenResponse",
  "resultCode":"A050001",
  "resultMessage":"[A050001] The token request (grant_type=authorization_code) 
    was processed successfully.",
  "accessToken":"kwXY57oN4nBOqxk57vW2fo-WzgezrwSl2h1N_xW8aKI",
  "responseContent":
    "{\"access_token\":\"kwXY57oN4nBOqxk57vW2fo-WzgezrwSl2h1N_xW8aKI\",
      \"refresh_token\":\"5zBNsdrlMojcMH3wCrfaXpmAY6vKqOqeV3q1ebRJzGM\",
      \"scope\":null,\"token_type\":\"Bearer\",\"expires_in\":3600}",
  ...
}

認可サーバーからクライアントへのトークンレスポンス

参考資料

• クライアント認証の設定

本記事では、Authlete のクライアント認証設定の基本を説明します。

• private_key_jwt によるクライアント認証

認可サーバーは、private_key_jwt 方式を用いたクライアント認証の処理を、Authlete に移管することができます。本記事ではこの方式の概要と、Authlete の設定手順について説明します。

• OAuth 2.0 クライアント認証 - Qiita

この記事では、OAuth 2.0 の『クライアント認証』について説明します。

RFC 6749 に記述されているクライアント認証方式のほか、クライアントアサーションやクライアント証明書を用いるクライアント認証方式についても説明します。