はじめに

設定

1. リクエストオブジェクトの署名アルゴリズム
2. 指定した署名アルゴリズムに対応する公開鍵

• リクエストオブジェクトの暗号化
• “request_uri” の使用

これらの設定は、Authlete のクライアントアプリ開発者コンソールにアクセスし、クライアントごとに行います。

1. 署名アルゴリズムの指定

「認可」タブの「リクエストオブジェクトの署名アルゴリズム」に、署名アルゴリズムを指定します。以下は “ES256” を指定した例です。

2. 公開鍵の登録

「JWK セット」タブにて、「JWK セットの内容」に JWK 形式の公開鍵を登録するか、もしくは「JWK セット URI」に URL を指定します。以下は ES256 の公開鍵を登録した例です。

オプション: 暗号化アルゴリズムの指定

暗号化されたリクエストオブジェクトを利用する場合には、「認可」タブの「リクエストオブジェクトのキー暗号化アルゴリズム」と「リクエストオブジェクトの本文暗号化アルゴリズム」に適切な値を指定します。

オプション: request_uri の値の登録

クライアントが request (値渡し) ではなく request_uri (参照渡し) を含む認可リクエストを送信する場合には、「認可」タブの「リクエスト URI」に、適切な値を登録します。

実行例

リクエスト

クライアントがリクエストオブジェクトを作成

{
  "exp": 1597130002,
  "iss": "17201083166161",
  "aud": "https://as.example.com",
  "scope": "openid profile",
  "response_type": "code",
  "client_id": "17201083166161",
  "redirect_uri": "https://client.example.org/cb/example.com",
  "nonce": "lvzxcjkb78643ki5kigsysigyb",
  "foo": "bar"
}

eyJhbGciOiJFUzI1NiJ9.
ewogICJleHAiOiAxNTk3MTMwMDAyLAogICJpc3MiOiAiMTcyMDE
wODMxNjYxNjEiLAogICJhdWQiOiAiaHR0cHM6Ly9hcy5leGFtcG
xlLmNvbSIsCiAgInNjb3BlIjogIm9wZW5pZCBwcm9maWxlIiwKI
CAicmVzcG9uc2VfdHlwZSI6ICJjb2RlIiwKICAiY2xpZW50X2lk
IjogIjE3MjAxMDgzMTY2MTYxIiwKICAicmVkaXJlY3RfdXJpIjo
gImh0dHBzOi8vY2xpZW50LmV4YW1wbGUub3JnL2NiL2V4YW1wbG
UuY29tIiwKICAibm9uY2UiOiAibHZ6eGNqa2I3ODY0M2tpNWtpZ
3N5c2lneWIiLAogICJmb28iOiAiYmFyIgp9.
JnuCpEL1mRKPBUfXIO5mPtusY2lnz1w6oS6QQdYai7VUXUxfPA7
elMIWdsExc7tsSovTTAMK8mSxz9COAciY-Q

クライアントが認可リクエストを送信

• 値として渡す場合

GET /cb/example.com
 &client_id=...
 &scope=openid
 &response_type=code
 &request=eyJhbGciOiJFUzI1NiJ9.
   ewogICJleHAiOiAxNTk3MTMwMDAyLAogICJpc3MiOiAiMTcyMDE
   wODMxNjYxNjEiLAogICJhdWQiOiAiaHR0cHM6Ly9hcy5leGFtcG
   xlLmNvbSIsCiAgInNjb3BlIjogIm9wZW5pZCBwcm9maWxlIiwKI
   CAicmVzcG9uc2VfdHlwZSI6ICJjb2RlIiwKICAiY2xpZW50X2lk
   IjogIjE3MjAxMDgzMTY2MTYxIiwKICAicmVkaXJlY3RfdXJpIjo
   gImh0dHBzOi8vY2xpZW50LmV4YW1wbGUub3JnL2NiL2V4YW1wbG
   UuY29tIiwKICAibm9uY2UiOiAibHZ6eGNqa2I3ODY0M2tpNWtpZ
   3N5c2lneWIiLAogICJmb28iOiAiYmFyIgp9.
   JnuCpEL1mRKPBUfXIO5mPtusY2lnz1w6oS6QQdYai7VUXUxfPA7
   elMIWdsExc7tsSovTTAMK8mSxz9COAciY-Q HTTP/1.1
Host: as.example.com
...

• 参照として渡す場合

GET /cb/example.com
 &client_id=...
 &scope=openid
 &response_type=code
 &request_uri=https://client.example.org/request.jwt HTTP/1.1
Host: as.example.com
...

認可サーバーが Authlete API にリクエストを送信

curl -s -X POST https://api.authlete.com/api/auth/authorization \
-u '...:...' \
-H 'Content-Type: application/json' \
-d '{"parameters": 
  "redirect_uri=https://client.example.org/cb/example.com
   &scope=openid+payment
   &response_type=code+id_token
   &client_id=...
   &nonce=n-0S6_WzA2Mj
   &request=eyJhbGciOiJFUzI1NiIsImtpZCI6IjEifQ.
    ewoicmVkaXJlY3RfdXJpIjoiaHR0cHM6Ly9jbGllbnQ
    uZXhhbXBsZS5vcmcvY2IvZXhhbXBsZS5jb20iLAoicm
    VzcG9uc2VfdHlwZSI6ImNvZGUgaWRfdG9rZW4iLAoiY
    2xpZW50X2lkIjoiNTkxMjA1OTg3ODE2NDkwIiwKInNj
    b3BlIjoib3BlbmlkIHBheW1lbnQiLAoiZXhwIjoxNTU
    0OTczMDAwMCwKImF1ZCI6Imh0dHBzOi8vYXMuZXhhbX
    BsZS5jb20iLAoiY2xhaW1zIjp7CiAgImlkX3Rva2VuI
    jp7CiAgICAiYWNyIjp7CiAgICAgICJlc3NlbnRpYWwi
    OnRydWUsCiAgICAgICJ2YWx1ZXMiOlsidXJuOmV4YW1
    wbGU6cHNkMjpzY2EiXQogICAgfQogIH0KfSwKIm5vbm
    NlIjoibi0wUzZfV3pBMk1qIgp9Cg.b5rDSqaI3dh8n4
    A8hK4B5zSpnZNO_8--W-kTU03CNbCq1I_Vuf3w33ZVU
    hD0A-rla8cTPlZ25keQBncGWafzOA"}' | jq

レスポンス

{
  "type": "authorizationResponse",
  "resultCode": "A004001",
  "resultMessage": 
    "[A004001] Authlete has successfully issued a ticket 
     to the service (API Key = 14156727624613) for the 
     authorization request from the client (ID = ...). 
     [response_type=code, openid=true]",
  "requestObjectPayload": 
    "{\"exp\":1597130002,
      \"iss\":\"17201083166161\",
      \"aud\":\"https://as.example.com\",
      \"scope\":\"openid profile\",
      \"response_type\":\"code\",
      \"client_id\":\"17201083166161\",
      \"redirect_uri\":
        \"https://client.example.org/cb/example.com\",
      \"nonce\":\"lvzxcjkb78643ki5kigsysigyb\",
      \"foo\":\"bar\"}",
  "ticket": "rja...GiE"
[...]