サード・パーティー OAuth プロバイダーの OAuth イントロスペクション

ヘッダー接頭部を使用して、サード・パーティー・プロバイダーに情報を渡すことができます。 ヘッダー接頭部には正規表現を含めることができ、 x-introspect-*などの追加情報を送信するために使用するヘッダーの名前パターンを指定します。

     GET /petstore/pet/123 HTTP/1.1
     Host: apiconnect.com
     x-Introspect-type: dog
     x-Introspect-name: simon
     x-custom-apic: petstore123
     Authorization: Bearer tGzv3JOkF0XG5Qx2TlKWIA
     x-IBM-Client-Id: xxx-xxx

API Connect コード・サンプルに示されているように、 で指定された introspection エンドポイントにこの POST リクエストを発行します： x-tokenIntrospect

     POST /oauth/introspectURL HTTP/1.1
     Host: apiconnect.ibm.com
     Content-Type: application/x-www-form-urlencoded
     x-Introspect-type: dog
     x-Introspect-name: simon
     x-custom-apic: petstore123
     token_type_hint=access_token&token=tGzv3JOkF0XG5Qx2TlKWIA

アクティブ・クレームの値が以下の場合trueトークンは有効として扱われます。

   HTTP/1.1 200 OK
    Content-Type: application/json;charset=UTF-8
    Cache-Control: no-store
    Pragma: no-cache

    { “active”:true,
       “token_type”:“bearer”,
       “client_id”:“xxx-xxx”,
       “username”:“John Smith”,
       ...
    }

アクティブ・クレームの値が以下の場合falseトークンは無効として扱われます。

     HTTP/1.1 200 OK
     Content-Type: application/json;charset=UTF-8
     Cache-Control: no-store
     Pragma: no-cache

     {
       "active":false
     }

デフォルトでは、要求内に x-introspect-basic-authorization-header が存在する場合、その値はイントロスペクション・エンドポイントとの通信が行われる際に HTTP 基本認証ヘッダーに対して使用されます。 API Connect HTTP 基本認証ヘッダー値が送信前に エンコードされていることを確認し、必要に応じて次の例のようにエンコードします。 Base64 ヘッダーが既にエンコードされている場合は、そのまま送信されます。

GET /petstore/pet/123 HTTP/1.1
Host: apiconnect.com
x-introspect-basic-authorization-header: user:password

API Connect は以下を発行します。

POST .. 
Authorization: Basic M3JkLXBhcnR5LWNsaWVudF9pZDozcmQtcGFydHlfY2xpZW50X3NlY3JldA==token_type_hint=access_token&token= ..

DataPower API Gateway を使用している場合は、サードパーティの OAuth プロバイダーの設定で、Basic 認証リクエストヘッダー名フィールドに必要な値を入力することで、 HTTP Basic 認証ヘッダーに独自の値を指定することができます。 イントロスペクション・エンドポイントに渡される認証データは、以下のルールによって決まります。

• 要求内に基本認証ヘッダーがある場合は、指定された資格情報が使用されます。 値は、 user:passwordという形式のストリングか、 Base64 でエンコードされた同等の値でなければなりません。 API Connect は、要求をイントロスペクション・エンドポイントに送信する前に、必要に応じて値をエンコードします。 Base64
• 要求内に基本認証ヘッダーがなくても、サード・パーティー OAuth プロバイダー構成の「基本認証ユーザー名」フィールドと「基本認証パスワード」」フィールドに値が指定されている場合は、それらの値が使用されます。
• リクエストにBasic認証ヘッダーがなく、ユーザー名とパスワードの詳細がサードパーティのOAuthプロバイダ設定で提供されていないが、 client_id と client_secret の値がリクエスト本文で提供されている場合、これらが使用される。
• それ以外の場合、エラーが戻されます。

サード・パーティー OAuth プロバイダーの構成について詳しくは、 サード・パーティー OAuth プロバイダーの構成を参照してください。

scopeと scope validate url のどちらか、あるいは両方が設定されていて、レスポンスがサードパーティのOAuth Provider introspectionエンドポイントからのscope claimを持つアクティブトークンである場合、 API Connect 、さらに以下の順序でscopeバリデーションが実施される：

1. OAuth API 保護に対して scope が構成されている場合、サード・パーティーのスコープを、構成済みの当該のスコープに対して検証します。
2. scope validation url が構成されている場合、サード・パーティーのスコープを、スコープ検証 URL に対して検証します。
3. サードパーティー OAuth プロバイダーのイントロスペクション・エンドポイントがスコープを返さない場合、ゲートウェイは、サードパーティー OAuth プロバイダー・リソースが使用されている API のセキュリティー定義で定義されているスコープを検査しません。 API での OAuth セキュリティー定義の構成について詳しくは、 OAuth セキュリティー定義の作成を参照してください。

詳しくは、 スコープを参照してください。

デフォルトでは、 API Connect クライアント ID およびスコープはサード・パーティー OAuth プロバイダーに送信されます。 この動作は、以下のいずれかの方法で抑止できます。

• 以下のように suppress-parameters ヘッダーを指定します。

  suppress-parameters: client_id

  suppress-parameters: scope

  または

  suppress-parameters: client_id scope

  のいずれかの suppress-parameters ヘッダーを指定します。
• API 定義自体に suppress-parameters という名前の API プロパティーを定義し、抑止したいパラメーターに応じて

  client_id

  scope

  または

  client_id scope

  のいずれかの suppress-parameters ヘッダーを指定します。 API プロパティーの定義方法については、 API プロパティーの設定を参照してください。