新しい OpenID Connectプロバイダーによる動的なクライアント登録

始める前に

これは、 OpenID の「Connect Dynamic Client Registration」 1.0 の仕様に基づいています。

新しい OIDC アプリケーションは、テナント管理者、またはテナントに対する管理アクセス権限を持つユーザーによって作成されます。 また、動的なクライアント登録を通じて、OIDCアプリケーションを動的に作成することも可能になりました。

動的クライアント登録エンドポイントは、https://{{tenant}}/oauth2/registerにあります。

このタスクについて

動的なクライアント登録設定を構成し、登録APIを使用して新しいOIDCアプリケーションを動的に登録します。 このアプリケーションは、「 "OpenID Connect」または「 "OpenID Connect for Open Banking」のいずれかです。

動的なクライアント登録設定

動的クライアント登録の設定では、動的クライアント登録のデフォルト値を設定することができます。 「OIDCの動的クライアント登録設定の構成」 を参照してください。

関連する設定については、次の表に説明があります。

設定の「ソフトウェアステートメント」、「認証の要求」、「アクセストークンの登録」の各セクションについては、「OIDC動的クライアント登録設定の構成」を参照してください。

動的クライアント登録にはベアラー・トークン認証が必要

動的なクライアント登録において、リクエスト認証がベアラートークン認証を必要とするように設定されている場合、初期アクセストークンが必要となります。

Manage OIDC client registration dynamically資格を持つ API クライアントを作成します。 APIクライアントを作成するには、 「アプリケーションのAPIアクセス管理」 を参照してください。

API クライアントを作成したら、client_credentials フローを使用してアクセス・トークンを取得します。 以下にコードの例を示します。

curl -ki -v https://{{tenant}}/v1.0/endpoint/default/token -d "grant_type=client_credentials&client_id=<clientId>&client_secret=<clientSecret>"

動的なクライアント登録リクエストでは、認証ヘッダーにベアラートークンを指定する必要があります。

動的クライアント登録には MTLS が必要

リクエストの認証が相互の TLS を必要とするように設定されている場合、クライアントはリクエスト時に有効な証明書を提示する必要があります。

登録APIを使用して新しいアプリケーションを登録する

以下の表に、現在サポートされているクライアント・メタデータのリストを示します。

新規アプリケーションの登録の例

以下のコードは、動的クライアント登録がベアラー・トークンによる認証を必要とするように設定されている場合の、リクエストの例です。

curl -ki -H "Authorization: bearer <access-token>" -H "Content-Type:application/json" -X POST https://{{tenant}}/oauth2/register --data-binary '{"redirect_uris":["https://www.redirect.com"],"client_name":"MyApplication"}'

応答 (response)

{
	"grant_types": [
		"authorization_code"
	],
	"client_secret_expires_at": "0",
	"registration_client_uri": "https://{{tenant}}/oauth2/register/<clientId>",
	"client_secret": "<client_secret>",
	"redirect_uris": [
		"https://www.redirect.com"
	],
	"client_id_issued_at": "1586933118",
	"client_name": "MyApplication",
	"registration_access_token": "<access_token>",
	"client_id": "<clientId>",
	"id_token_signed_response_alg": "RS256"
}

アプリケーションの追加構成

アプリケーションの作成後、属性マッピング、アクセスポリシー、IDソース、権限を持つユーザーなど、アプリケーションに関するその他の設定を行うことができます。 これらのオプションを設定するには、 「 OpenID Connect」アプリケーションでのシングルサインオンの設定、または 「 OpenID Connect for Open Banking」アプリケーションでのシングルサインオンの設定を参照してください。

登録APIを使用してOIDCアプリケーションを更新する

以下のコードは、前の手順で取得した認証ベアラー・トークンを registration_access_token 使用し、クライアントを変更するためのPUTリクエストを送信する例です。 OIDCアプリケーションの設定を変更すると、その変更内容が上書きされる点にご注意ください。

curl -ki -H "Authorization: bearer <registration_access_token>" -H "Content-Type:application/json" -X PUT https://{{tenant}}/oauth2/register/<client-id> --data-binary '{"redirect_uris":["https://www.redirect.com/callback"],"client_name":"MyApplication2"}'

登録 API を使用した OIDC アプリケーションの読み取り

登録 API では、OIDC アプリケーションを再度読み取ることもできます。

curl -ki -H "Authorization: bearer <registration-access-token>" https://{{tenant}}/oauth2/register/<clientId>

登録APIを使用してOIDCアプリケーションを削除する

登録 API では、OIDC アプリケーションを削除することもできます。

curl -ki -H "Authorization: bearer <registration-access-token>" -X DELETE https://{{tenant}}/oauth2/register/<clientId>

登録アクセス・トークンの有効期限切れ

登録済みのアクセストークンの有効期限が切れた場合は、登録済みのクライアントのクライアントIDとシークレットを使用して、新しいアクセストークンを取得してください。 「初期アクセストークンの取得」 を参照してください。