アプリケーションのAPIアクセス管理
開発者が 1 つ以上の Verify 機能を使用するアプリケーションを構築する場合、アプリケーションには適切な Verify API を呼び出す資格がなければなりません。 社内アプリケーションを API アクセスのアプリケーションAPIクライアントとして登録し、一意のクライアントIDとシークレットを割り当ててください。
始める前に
- このタスクを完了するには管理者権限が必要です。
- IBM® Verify 管理者として管理コンソールにログインしてください。
このタスクについて
アプリケーションの作成時、または後から編集オプションを使用して、APIへのアクセス権を付与することができます。 アプリケーション用に API クライアントを作成できます。各 API クライアントは、異なる API アクセス資格のセットを所有できます。
また、IP フィルターを実装することで、トークンの発行および使用を特定の IP アドレス範囲に制限したり、特定の IP アドレス範囲を除外したりすることもできます。
OIDC アプリケーションの場合、SSO クライアントの API アクセス資格も構成できます。 Verifyこれらのトークンは、アプリケーションにログインしたユーザーが実行する権限を持つ操作に限定されています。
手順
- アプリケーション API クライアントを作成します。
- API クライアントについて、以下の情報を指定します。
表 1. アプリケーションAPIクライアント 情報 説明 名前 API クライアントの名前を指定します。 注： 使用できるのは英数字および以下の特殊文字のみです：- -
- .
- _
有効 API クライアントが有効か無効かを示します。
対応の API クライアントは、アクセス権限のある API を呼び出すことができます。無効化されたAPIクライアントは
、アクセス権限を持つAPIを含め、いかなるAPIも呼び出すことができません。注:- この設定が有効になるまでに最大で 1 分かかる場合があります。
- API クライアントに既存の有効なアクセス・トークンがある場合、引き続き API を呼び出すことができます。 アクセス・トークンには、制限された有効期間があります。 トークンは 2 時間で期限が切れます。 アクセス・トークンの期限が切れると、API クライアントは API を呼び出せなくなります。
クライアント ID API クライアントの固有 ID。
この情報は、API クライアントの保存後に自動的に生成され、「API クライアント」リストに表示されます。
クライアント秘密鍵 API クライアントの ID を確認するために、クライアント ID と共に使用されます。
この秘密鍵は、アプリケーションおよび許可サーバーのみが知っている必要があります。
この情報は、API クライアントの保存後に自動的に生成されます。 API クライアントの詳細を表示します。
クライアント認証方式 API クライアントのクライアント認証方式を示します。 Verify は、以下のクライアント認証方式をサポートしています。- Default（既定の選択）
- Client secret basic
- Client secret POST
- Private key JWT
- 相互TLS注： カスタムアプリケーションでは、相互 TLS は利用できません
TLS クライアント認証属性 このオプションは、相互 TLS クライアント認証方式が選択されている場合にのみ表示されます。 認証用認証属性。- サブジェクト DN
- SAN DNS
- SAN URI
- SAN IP
- SAN E メール・アドレス
TLS クライアント認証属性値 このオプションは、相互 TLS クライアント認証方式が選択されている場合にのみ表示されます。 認証用認証属性値。
証明書にバインドされたアクセス・トークン 注： カスタムアプリケーションでは、証明書に紐づくアクセストークンは利用できません生成トークンが認証にバインドされるかどうかを示します。 認証結合アクセストークンについては、Open ID Connect相互TLSクライアント認証と認証結合アクセストークンを参照してください。 クライアント・アサーション JTI の検証 (Validate client assertion JTI) クライアント・アサーション JWT 内の JTI が単一使用に対して検証されるかどうかを示します。 このオプションは、クライアント秘密鍵 JWT クライアント認証方式または秘密鍵 JWT クライアント認証方式が選択されている場合にのみ表示されます。 許可された署名検証鍵 (Allowed signature verification keys) クライアント・アサーション JWT の検証に使用できる署名検証鍵 ID。 このオプションは、秘密鍵 JWT クライアント認証方式が選択されている場合にのみ表示されます。 注： 署名検証キーは手動で指定することができます。 複数の署名検査鍵を指定できます。JWKS URI 依拠当事者が公開鍵を JSON Web Key (JWK) 形式で公開する URI。 この URI は、JWT 署名の検証に使用されます。 システムは、到達不能または応答しない JWKS URI を拒否できます。 JWKSサイズが大きすぎる場合、システムはJWKS URIを拒否できます。 依拠当事者が JWKS URI を公開しない場合は、X509 証明書の形式で公開鍵をシステムに追加できます。 「証明書の管理」 を参照してください。 パブリック証明書に関連付けられる「フレンドリー名」は、JWT の鍵 ID (kid) ヘッダーの値です。
- API クライアントについて、以下の情報を指定します。
- API クライアントの詳細を表示します。
- 検索フィールドをスクロールまたは使用して、API クライアントを見つけます。 検索項目と一致するすべてのクライアントが表示されます。
- 情報を表示する API クライアントを選択します。 APIクライアントの詳細が表示されます。
- APIクライアントにカーソルを合わせ、アイコンが表示されたらそれ
を選択してください。 「API クライアントの編集」ダイアログ・ボックスが表示されます。以下のオプションを使用します。- を選択
すると、クライアントIDまたはシークレットがクリップボードにコピーされます。 - クライアント秘密鍵を表示するには、
を選択します。 - クライアント秘密鍵を非表示にするには、
を選択します。
- を選択
- API クライアントを編集します。
- APIクライアントにカーソルを合わせ、アイコンが表示されたらそれ を選択してください。「API クライアントの編集」ダイアログ・ボックスが表示されます。
- 情報を編集します。既存のアプリケーションを編集する場合は、次のクライアント秘密鍵オプションを使用できます。
- クライアント秘密鍵を表示するには、を選択します。
- クライアント秘密鍵を非表示にするには、を選択します。
- を選択 すると、クライアントIDまたはシークレットがクリップボードにコピーされます。
- [選択]
をクリックして、回転されたクライアントシークレットを表示します。- リストから1つ以上のローテーション済みのクライアントシークレットを選択し、 「削除」 をクリックして削除してください。
- 新規クライアント・シークレットを生成するには、
を選択します。 クライアント秘密鍵が漏えいしたと思われる場合は、このオプションを使用します。 クライアント秘密鍵を再生成した場合は、アプリケーションのすべての OAuth クライアントにあるクライアント秘密鍵を更新する必要があります。- 「 現在のシークレットを保持する 」のチェックボックスを選択すると、現在のクライアントシークレットがローテーション対象のクライアントシークレットのリストに追加されます。
- 「 現在のシークレットを保持する」 チェックボックスがオンになっている場合は、クライアントシークレットの説明と有効期限（ブラウザのローカル時間）を選択してください。 有効期限が選択されていない場合、 アプリケーション設定で設定されたテナントの「ローテーションされたシークレットの有効期間」が適用されます。
- 更新されたクライアントシークレットはハッシュ化されており、もはや平文で復元することはできませんが、指定された有効期限までは引き続き使用可能です。
- 確認後、クライアントシークレットは直ちに更新されます。 新しいクライアントシークレットが画面に表示されます。
- クライアント秘密鍵を表示するには、
- APIクライアントにカーソルを合わせ、アイコンが表示されたらそれ