はじめに

ユースケース

例 1: 送金 API の制御

例 2: ロールベースのアクセス管理

リソースサーバーが、クライアントから提示されたアクセストークンから、そのトークンにひもづくユーザーの識別子だけではなく、ユーザーの属するグループやロールを知りたいとします。

単純な実現方法としては、リソースサーバーは受け取ったアクセストークンのイントロスペクションを行ってユーザー識別子を取得した上で、そのユーザーのグループやロールを得るために、別のデータベースに問い合わせを行うことになります。

これもまた、Authlete のプロパティを用いると、認可サーバーがユーザーのグループやロールをトークンにひもづけ、その値をリソースサーバーが Authlete から取得する、という連携が可能となり、前述したような、リソースサーバーからデータベースへの問い合わせが不要となります。

---

利用方法

Property データタイプ

{
  "key":"example_key",
  "value":"example_value",
  "hidden":false
}

プロパティのひもづけ

認可サーバーが「認可エンドポイント」から認可コードもしくはアクセストークンを返却する直前

• リクエスト

curl -s -X POST .../auth/authorization/issue 
 -u ...:... 
 -H 'Content-type: application/json'
 -d '{"subject":"<subject>",
      "ticket":"<ticket>",
      "properties":[
        {"key":"example_key",
         "value":"example_value",
         "hidden":true}
        ]
     }'

• レスポンス

{
  "type": "authorizationIssueResponse",
  "resultCode": "A040001",
  "resultMessage": "[A040001] The authorization request was processed 
    successfully.",
  "accessTokenDuration": 0,
  "accessTokenExpiresAt": 0,
  "action": "LOCATION",
  "authorizationCode": "...",
  "responseContent": "https://client.example.org/cb/example.com?code=..."

認可サーバーが「トークンエンドポイント」からアクセストークンを返却する直前

• リクエスト

curl -s -X POST .../auth/token 
 -u ...:...
 -H 'Content-type: application/json'
 -d '{"clientId":"<clientId>",
      "clientSecret":"<clientSecret>",
      "parameters":
        "redirect_uri=https://client.example.org/cb/example.com
         &grant_type=authorization_code
         &code=...",
      "properties":[
        {"key":"example_key",
         "value":"example_value",
         "hidden":false}
        ]
    }'

• レスポンス

{
  "type": "tokenResponse",
  "resultCode": "A050001",
  "resultMessage":
    "[A050001] The token request (grant_type=authorization_code) was processed
     successfully.",
  "accessToken": "...",
  "action": "OK",
...
  "properties": [
    {
      "hidden": false,
      "key": "example_key",
      "value": "example_value"
    }
  ],
  "refreshToken": "...",
  "responseContent":
    "{\"access_token\":\"...\",
      \"refresh_token\":\"...\",
      \"scope\":\"payment\",
      \"token_type\":\"Bearer\",
      \"expires_in\":300,
      \"example_key\":\"example_value\"
     }",
  "subject": "<subject>"
}

プロパティの取得

• リクエスト

curl -s -X POST .../auth/introspection 
 -u ...:...
 -H 'Content-type: application/json'
 -d '{"token":"<accessToken>"}'

• レスポンス

{
  "clientId" : <clientId>,
  "properties" : [
    {
      "key":"example_key",
      "value":"example_value",
      "hidden" : false
    }
  ],
  "action" : "OK",
  "resultCode" : "A056001",
  "expiresAt" : 1565847795000,
  "subject" : "<subject>",
  "type" : "introspectionResponse",
  "refreshable" : true,
  "usable" : true,
  "existent" : true,
  "resultMessage" : "[A056001] The access token is valid.",
  "responseContent" : "Bearer error=\"invalid_request\""
...
}

制限事項

キーの値

• access_token
• token_type
• expires_in
• refresh_token
• scope
• error
• error_description
• error_uri
• id_token

プロパティの値

サイズ

1. 三次元の文字列に変換する
   • 例：[["example_parameter","example_value",null]]
     (hidden の値は null か空文字列に変換されます。それぞれ、false と true を表します。)
2. JSON 文字列に変換する
   • 例: "[[\"example_parameter\":\"example_value\",null]]"
3. AES/CBC/PKCS5Padding で暗号化する
4. base64url でエンコードする

   ---

関連情報

• Extra Properties