はじめに
前回からだいぶ時間が空いてしましましたが、今回はOpenID Connectで認可コードを取得するエンドポイントとそれ以降のフローで必要なRPからOpenAMのRestAPIエンドポイントのアクセス方法をご紹介したいと思います。
OpenID Connectの仕様に準拠しているため基本的には他のOPソフトウェアと同じですが、エラー時のレスポンス内容が規定されていないため異なったり、パラメータの値が実装内容により範囲が異なったりといった違いはあるかと思います。
また、第1回から第4回までの内容を踏まえておくとより理解が進むかと思いますので、下記も参考にしてください。
OAuth2.0/OpenID Connectの利用(1) : ソーシャルログインでOpenAMにユーザ認証してみる(Facebook編)
OAuth2.0/OpenID Connectの利用(2) : ソーシャルログインでOpenAMにユーザ認証してみる(Google編)
OAuth2.0/OpenID Connectの利用(3) : OpenAMでOPを立ててmod_auth_openidcと連携する
OAuth2.0/OpenID Connectの利用(4) : OpenID ConnectのIDトークン(JSON Web Token)を理解する
OpenAMのAuthorizationエンドポイント
Basic Client ProfileでOpenAMのAuthorizationエンドポイントから認可コードを受け取る内容を説明します。
OpenAM上のAuthorizationエンドポイントは/oauth2/authorizeです。
以下のようにOPのAuthorizationエンドポイントにリクエストをします。
これはRPが直接OPにリクエストするのではなくユーザーのブラウザ上でRPがリダイレクトを実行します。
ユーザーはOPの認証画面で認証操作をおこなったあと、OPからRPのリダイレクトURIにリダイレクトします。
このAuthorizationエンドポイントではユーザーのブラウザ操作で発生するリクエストとレスポンスです。
実際にはブラウザ上ですが、コマンドで実行した場合はいかのようになります。
# curl -k --request GET \
"https://sso.test.osstech.co.jp/openam/oauth2/authorize?response_type=code
&scope=openid%20profile&client_id=client1&state=3AzO9CyFP3fQkLKhaSkQNjYfgtA
&redirect_uri=https%3A%2F%2Foidcrp.test.osstech.co.jp%2Fportal%2F
&nonce=vs6og3aOTZQts2E5XpDHrokMQ590xpM9hz8meFN4XI0"
実際のリクエストは以下のようにOPに届きます。
GET /openam/oauth2/authorize?response_type=code&scope=openid%20profile&client_id=client1
&state=3AzO9CyFP3fQkLKhaSkQNjYfgtA
&redirect_uri=https%3A%2F%2Foidcrp.test.osstech.co.jp%2Fportal%2F
&nonce=vs6og3aOTZQts2E5XpDHrokMQ590xpM9hz8meFN4XI0 HTTP/1.1
Host: sso.test.osstech.co.jp
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:130.0) Gecko/20100101 Firefox/130.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: ja,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate, br, zstd
Connection: keep-alive
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=0, i
X-Forwarded-Proto: https
X-Forwarded-Port: 443
X-Forwarded-For: xxx.xxx.xxx.xxx
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| response_type | 必須 | "code"、"token"、"id_token" のいずれかまたは複数をスペース区切りで指定 |
| scope | 必須 | 必要なscopeを指定。"openid","profile"やカスタムスコープなど。スペース区切りで指定。 |
| client_id | 必須 | クライアントIDを指定 |
| redirect_url | 任意 | クライアントへのリダイレクトURLを指定。無くてもエラーにならないが指定した場合はOP上にあらかじめ登録してあるリダイレクトURLの中から指定する。 |
| state | 任意 | CSRF対策のためランダムな値を指定。指定した値はこのリクエストの応答にそのまま含まれるためRP側でチェックする。 |
| nonce | 任意 | リプレイアタック防止用に任意の値を指定。OPから取得したIDトークンに含まれるnonceと合致するかチェックする。レスポンスにIDトークンが含まれない場合はレスポンス内のnonceパラメータと合致するかチェックする。 |
| code_challenge | 任意 | 認可コード横取り防止用に任意の値を指定。access_tokenエンドポイントのアクセスでRPからcode_verifilerを送信し、OPはcode_challenge,code_challenge_methodから算出した値とcode_verifilerが合致するかチェックする。 |
| code_challenge_method | 任意 | "S256" もしくは "plain"を指定。code_challengeを付けた場合は必須。 |
※OpenAMのクライアント設定で「code_verifier パラメーターを要求」を有効にしたときはcode_challenge,code_challenge_methodは必須になる。
リダイレクト内容(正常時)
RPへのリダイレクト内容の説明です。
| クエリパラメータ名 | 内容 |
|---|---|
| code | OPで発行された認可コード |
| scope | 対象スコープ |
| iss | 認可コードの発行元 |
| state | リクエストでRPから送ったstateの値。RPはここで送信した値と戻り値が同じかチェックする。 |
| client_id | クライアントID |
実際のリダイレクトは以下のようにRPに届きます。
GET https://oidcrp.test.osstech.co.jp/portal/
?code=f1a61db4-5c6c-4b0e-8a70-6a9f0a6b411f
&scope=openid%20profile
&iss=https%3A%2F%2Fsso.test.osstech.co.jp%3A443%2Fopenam%2Foauth2
&state=eU9w3ikVBqamek36x-Dw1VykQBA
&client_id=client1
HTTP/1.1
Host: oidcrp.test.osstech.co.jp
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: ja,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate, br, zstd
Referer: https://sso.test.osstech.co.jp/
Connection: keep-alive
Cookie: mod_auth_openidc_state_eU9w3ikVBqamek36x-Dw1VykQBA=eyJhbGciOiAiZGlyIiwgImVuYyI6ICJBMjU2R0NNIn0..AyBwcPIUuWPLVVab.Gr5hILb42NuDjuvfQBHSUlIuUhiGJsrs-uryZljJKeDC4ySXie4U0h4eI8C6Z3FFhzNeykM-Mjgjgi9eRBVI-zXUg1kaDmXGZ0Ze4BBvpVahzlgxXLXnXByncfTtVg4QW2wa6KkZa2WjeyP0HH-8Ka0clWJcdGhIy0DTfRwHvaNGz_G8IYIt6CKO2Qk1jQePSlM0hiE.h1hJyAyMDzg2ceUm46KZQQ; lbcookie=01; ssocookie=AQIC5wM2LY4Sfcyirv7DIO4-silxwIu8u8blLX-HY7M_PnQ.*AAJTSQACMDMAAlNLABQtNDgzNjM1MzA3NDE1MjU3MjE2MAACUzEAAjAx*
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-site
Sec-Fetch-User: ?1
それに対してエラーがあった場合は以下の内容が返ります。
リダイレクト内容(エラー時)
RPへのリダイレクト内容の説明です。
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
| state | リクエストでRPから送られたstateの値 |
エラー時は以下のようにRPに届きます。
GET https://oidcrp.test.osstech.co.jp/portal/
?error_description=Unknown%2Finvalid%20scope%28s%29%3A%20%5Bsms%5D
&state=wgG28nSYdwj5l3YMRxDpNouf2LY
&error=invalid_scope HTTP/1.1
Host: oidcrp.test.osstech.co.jp
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: ja,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate, br, zstd
Connection: keep-alive
Cookie: mod_auth_openidc_state_wgG28nSYdwj5l3YMRxDpNouf2LY=eyJhbGciOiAiZGlyIiwgImVuYyI6ICJBMjU2R0NNIn0..UMOGUt7vrosL9hvZ.IegdzNCuSzEHqJqwSSVodIdjBpEa8KhlKe4OBwSJ2qhVML-iSIU7u0Ka25dbYv9tVpcP8rHjKM1sWUeh9l_X4FmteoFh95tY0unH0gS0KFlYFHlC8t70NCbRhBGkP0AAryVcQo_nw6CaWDvK4bapHbVbPZm3mWk429-8ayUThDP7Bnvv6zqIbZi8Irh_mzVi1jIRl4A.9ClOM_Bm-KSmh1C5Z-5CmQ
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
OpenAMのRestAPIエンドポイント
OpenID Connectの各フローで主に利用するエンドポイントを紹介していきますが、
以下のエンドポイントについてリクエスト方法と受け取るレスポンスの例を説明していこうと思います。
・Tokenエンドポイント
・UserInfoエンドポイント
・TokenInfoエンドポイント
・Introspectエンドポイント
・Revokeエンドポイント
それでは各エンドポイントの詳細について見ていきましょう。
Tokenエンドポイント
このエンドポイントではアクセストークン、リフレッシュトークン、IDトークンの取得をします。
認可コードから各トークンを取得することやリフレッシュトークンからアクセストークン、リフレッシュトークンを再取得するといった目的があります。
また、特殊な方法として認可コードなしにPassword Grantという方法でアクセストークン、リフレッシュトークン、IDトークンを取得することも可能です。
OpenAM上のTokenエンドポイントは/oauth2/access_tokenです。
認可コードから取得
認可コードからアクセストークン、リフレッシュトークン、IDトークンを取得する方法です。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--user "client1:password" \
--data "grant_type=authorization_code&code=ca1fc3bd-2e51-4793-868e-d087d699f6b8 \
&redirect_uri=https%3A%2F%2Foidcrp.test.osstech.co.jp%2Fportal%2F" \
"https://sso.test.osstech.co.jp/openam/oauth2/access_token"
{
"access_token":"137947c6-843a-4fd7-adc3-44766f97abca",
"refresh_token":"040e023f-db4c-45bd-8145-e2dbe6907d8c",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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._fqZXLlnpU3E56k75X9zvxyppsiNRhrNmYgdQj0Vp4E",
"token_type":"Bearer",
"expires_in":3599,
"nonce":"6DYQQVOsyo1G_7mmXOK5vRkNCX9DLIv-5yXT0d227-I"
}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/access_token HTTP/1.1
Host: sso.test.osstech.co.jp
Authorization: Basic Y2xpZW50MTpwYXNzd29yZA==
User-Agent: curl/7.61.1
Accept: */*
Content-Length: 138
Content-Type: application/x-www-form-urlencoded
X-Forwarded-Proto: https
X-Forwarded-Port: 443
X-Forwarded-For: xxx.xxx.xxx.xxx
grant_type=authorization_code
&code=ca1fc3bd-2e51-4793-868e-d087d699f6b8
&redirect_uri=https%3A%2F%2Foidcrp.test.osstech.co.jp%2Fportal%2F
Authorizationヘッダ
Authorizationヘッダの説明です。
Basicの後にクライアントID:クライアントシークレットをBase64エンコードして指定します。
"Authorization: Basic Y2xpZW50MTpwYXNzd29yZA=="
コマンドでは下記のようになります。
# echo -n "client1:password" | base64
Y2xpZW50MTpwYXNzd29yZA==
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| grant_type | 必須 | "authorization_code" を指定 |
| code | 必須 | OPから受け取った認可コードを指定 |
| redirect_url | 必須 | クライアントへのリダイレクトURLを指定 |
| client_id | 任意 | エンドポイントのクライアント認証方法をclient_secret_postにしている場合はクライアントIDを指定 |
| client_secret | 任意 | エンドポイントのクライアント認証方法をclient_secret_postにしている場合はクライアントシークレットを指定 |
| code_verifier | 任意 | 認可コードの検証値を指定。 |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| access_token | 必須 | アクセストークン |
| refresh_token | 任意 | リフレッシュトークン。クライアントで発行する設定とした場合。 |
| scope | 必須 | 適用したスコープ |
| id_token | 任意 | IDトークン。scopeに"opneid"が指定されている等。 RPはここでIDトークンに含まれる署名検証でトークンが偽装されていないかチェックする。 そのあとでIDトークンに含まれるnonceがRPで送信した値と同じかチェックする。また、他のクレーム検証もおこなう。 ※詳しくは第4回の「OpenID ConnectのIDトークン(JSON Web Token)を理解する」を参照。 |
| token_type | 必須 | トークンタイプ。"Bearer"固定 |
| expires_in | 必須 | アクセストークンの有効期限(秒) |
| nonce | 任意 | OPに送信したリプレイアタック防止用の値。RPはここで送信した値と戻り値が同じかチェックする。scopeでopenidを指定してIDトークンを受け取った場合はこの値ではなくid_tokenに含まれるnonceでチェックする。 |
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Thu, 10 Oct 2024 03:58:08 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
3f9
{
"access_token":"1b67f909-4a95-44df-88f1-35ca0f78346e",
"refresh_token":"53e8b7b7-b21d-4824-b8ad-3b99589266fc",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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._O7ajurVZcZ2mFWYCtGCVzzwUWrYYiAV_zfK9g3BzZw",
"token_type":"Bearer",
"expires_in":3599,
"nonce":"fRkibF5onIDv_UM-4uKl6DlnJOe385foB4YOdVhM_aM"
}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
HTTPステータス： 400(Bad Request) または 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 400 Bad Request
Date: Thu, 10 Oct 2024 07:35:52 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
6a
{
"error_description":"The provided access grant is invalid, expired, or revoked.",
"error":"invalid_grant"
}
リフレッシュトークンから取得
リフレッシュトークンからアクセストークン、リフレッシュトークンを再取得する方法です。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--user "client1:password" \
--data "grant_type=refresh_token&refresh_token=aeecaf3a-cd8f-4158-b56f-f7888ca83cf3" \
"https://sso.test.osstech.co.jp/openam/oauth2/access_token"
{
"access_token":"1a50bdb6-0daf-4202-8bda-50e79c67f1f8",
"refresh_token":"fcb165df-6fdb-476a-8606-a979433bdbb0",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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.OGTMf9NZ-uSYhpwXzs_v1qtiGf-yHshL7BO7eRB0sQw",
"token_type":"Bearer",
"expires_in":3599
}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/access_token HTTP/1.1
Host: sso.test.osstech.co.jp
Authorization: Basic Y2xpZW50MTpwYXNzd29yZA==
User-Agent: curl/7.61.1
Accept: */*
Content-Length: 75
Content-Type: application/x-www-form-urlencoded
grant_type=refresh_token&refresh_token=aeecaf3a-cd8f-4158-b56f-f7888ca83cf3
Authorizationヘッダ
Authorizationヘッダの説明です。
Basicの後にクライアントID:クライアントシークレットをBase64エンコードして指定します。
"Authorization: Basic Y2xpZW50MTpwYXNzd29yZA=="
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| grant_type | 必須 | "refresh_token" を指定 |
| refresh_token | 必須 | OPから受け取ったリフレッシュトークンを指定 |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| access_token | 必須 | アクセストークン |
| refresh_token | 必須 | リフレッシュトークン。このときクライアントで発行する設定となっている。 |
| scope | 必須 | 適用したスコープ |
| id_token | 任意 | IDトークン。scopeに"opneid"が指定されている等。 |
| token_type | 必須 | トークンタイプ。"Bearer"固定 |
| expires_in | 必須 | アクセストークンの有効期限(秒) |
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Thu, 10 Oct 2024 05:00:39 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
348
{
"access_token":"1a50bdb6-0daf-4202-8bda-50e79c67f1f8",
"refresh_token":"fcb165df-6fdb-476a-8606-a979433bdbb0",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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.OGTMf9NZ-uSYhpwXzs_v1qtiGf-yHshL7BO7eRB0sQw",
"token_type":"Bearer",
"expires_in":3599
}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 400(Bad Request) または 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 400 Bad Request
Date: Thu, 10 Oct 2024 07:44:20 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
40
{
"error_description":"grant is invalid",
"error":"invalid_grant"
}
認可コードなしで取得
認可コードなしにPassword Grantという方法でアクセストークン、リフレッシュトークン、IDトークンを取得する方法です。
※OpenAMではサービスのOAuth2プロバイダとエージェントのOAuth2.0クライアントの設定で、グラントタイプにpasswordを追加しておきます。
また、ユーザー認証が必要なので認証フローはシンプルなID/パスワード認証のみでおこなえる必要があります。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--user "client1:password" \
--data "realm=usr&auth_chain=ldapService&grant_type=password&username=osstech1&password=password&scope=openid%20profile" \
"https://sso.test.osstech.co.jp/openam/oauth2/access_token"
{
"access_token":"e80c9f1a-f694-4bed-9931-b5490c82f095",
"refresh_token":"41cef83e-5db3-4f36-aa62-61424851783a",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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.9pd9cc8ICMRr7l9xPjp2X0DlGN8zxCt1fQXWfAzNtXc",
"token_type":"Bearer",
"expires_in":3599
}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/access_token HTTP/1.1
Host: sso.test.osstech.co.jp
Authorization: Basic Y2xpZW50MTpwYXNzd29yZA==
User-Agent: curl/7.61.1
Accept: */*
Content-Length: 111
Content-Type: application/x-www-form-urlencoded
realm=usr&auth_chain=ldapService&grant_type=password&username=osstech1&password=password&scope=openid%20profile
Authorizationヘッダ
Authorizationヘッダの説明です。
Basicの後にクライアントID:クライアントシークレットをBase64エンコードして指定します。
"Authorization: Basic Y2xpZW50MTpwYXNzd29yZA=="
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| realm | 任意 | OpenAM上の対象レルム |
| auth_chain | 必須 | OpenAM上の指定する認証フロー |
| grant_type | 必須 | "password" を指定 |
| username | 必須 | 認証するユーザーのID |
| password | 必須 | 認証するユーザーのパスワード |
| scope | 任意 | 対象スコープ |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| access_token | 必須 | アクセストークン |
| refresh_token | 任意 | リフレッシュトークン。クライアントで発行する設定とした場合。 |
| scope | 必須 | 適用したスコープ |
| id_token | 任意 | IDトークン。scopeに"opneid"が指定されている等。 |
| token_type | 必須 | トークンタイプ。"Bearer"固定 |
| expires_in | 必須 | アクセストークンの有効期限(秒) |
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Thu, 10 Oct 2024 07:57:39 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
348
{
"access_token":"e80c9f1a-f694-4bed-9931-b5490c82f095",
"refresh_token":"41cef83e-5db3-4f36-aa62-61424851783a",
"scope":"openid profile",
"id_token":"eyAidHlwIjogIkpXVCIsICJhbGciOiAiSFMyNTYiIH0.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.9pd9cc8ICMRr7l9xPjp2X0DlGN8zxCt1fQXWfAzNtXc",
"token_type":"Bearer",
"expires_in":3599
}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 400(Bad Request) または 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 400 Bad Request
Date: Thu, 10 Oct 2024 08:14:05 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Pragma: no-cache
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
4f
{
"error_description":"Unknown/invalid scope(s): [sms]",
"error":"invalid_scope"}
UserInfoエンドポイント
このエンドポイントではアクセストークンからユーザー情報を取得します。
含まれるユーザー情報はアクセストークンを取得するまでに指定されているscopeの範囲になります。
OpenAM上のUserInfoエンドポイントは/oauth2/userinfoです。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--header "Authorization: Bearer 9f9db13a-ccd6-4369-b59d-3177efec05b2" \
--data "{}" \
"https://sso.test.osstech.co.jp/openam/oauth2/userinfo"
{
"sub":"osstech1",
"name":"osstech1-cn",
"family_name":"osstech1-sn"
}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/userinfo HTTP/1.1
Host: sso.test.osstech.co.jp
User-Agent: curl/7.61.1
Accept: */*
Authorization: Bearer 9f9db13a-ccd6-4369-b59d-3177efec05b2
Content-Length: 2
Content-Type: application/x-www-form-urlencoded
{}
Authorizationヘッダ
Authorizationヘッダの説明です。
Bearerの後にアクセストークンを指定します。
"Authorization: Bearer 9f9db13a-ccd6-4369-b59d-3177efec05b2"
リクエストパラメータはありません。
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| sub | 必須 | ユーザー識別子 |
| xxx | 任意 | scopeで指定された範囲のユーザークレーム。 |
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Tue, 15 Oct 2024 04:11:58 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json;charset=UTF-8
Connection: close
Transfer-Encoding: chunked
43
{
"sub":"osstech1",
"name":"osstech1-cn",
"family_name":"osstech1-sn"
}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 401 Unauthorized
Date: Tue, 15 Oct 2024 04:24:59 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
87
{
"error_description":"The access token provided is expired, revoked, malformed, or invalid for other reasons.",
"error":"invalid_token"
}
TokenInfoエンドポイント
このエンドポイントではアクセストークンからアクセストークンに関する情報を取得します。
主にアクセストークンに紐づけられたscopeやグラントタイプなどです。
OpenAM上のTokenInfoエンドポイントは/oauth2/tokeninfoです。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request GET \
https://sso.test.osstech.co.jp/openam/oauth2/tokeninfo?access_token=46fa3d20-6e4f-46bd-b695-a159a10fbad2
{
"access_token":"46fa3d20-6e4f-46bd-b695-a159a10fbad2",
"grant_type":"authorization_code",
"openid":"",
"scope":["openid","profile"],
"profile":"",
"realm":"/usr",
"token_type":"Bearer",
"expires_in":3567,
"client_id":"client1"
}
実際のリクエストは以下のようにOPに届きます。
GET /openam/oauth2/tokeninfo?access_token=46fa3d20-6e4f-46bd-b695-a159a10fbad2 HTTP/1.1
Host: sso.test.osstech.co.jp
User-Agent: curl/7.61.1
Accept: */*
Authorizationヘッダはありません。
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| access_token | 必須 | 検索対象のアクセストークン |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| access_token | 必須 | 検索対象のアクセストークン |
| grant_type | 必須 | アクセストークンを取得した際のグラントタイプ |
| scope | 必須 | アクセストークンに紐づけられたスコープ。 |
| realm | 必須 | OpenAM上の対象レルム。 |
| token_type | 必須 | アクセストークンのタイプ。 |
| expires_in | 必須 | アクセストークンの有効期限(秒)。 |
| client_id | 必須 | クライアントID。 |
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Tue, 15 Oct 2024 05:14:00 GMT
Server: Restlet-Framework/2.3.4
Cache-Control: no-cache, no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
d2
{
"access_token":"46fa3d20-6e4f-46bd-b695-a159a10fbad2",
"grant_type":"authorization_code",
"openid":"",
"scope":["openid","profile"],
"profile":"",
"realm":"/usr",
"token_type":"Bearer",
"expires_in":3567,
"client_id":"client1"
}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 401 Unauthorized
Date: Tue, 15 Oct 2024 05:29:24 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
87
{
"error_description":"The access token provided is expired, revoked, malformed, or invalid for other reasons.",
"error":"invalid_token"
}
Introspectエンドポイント
このエンドポイントではアクセストークンあるいはリフレッシュトークンが有効か無効かを検証します。
OpenAM上のIntrospectエンドポイントは/oauth2/introspectです。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--user "client1:password" \
--data "token=7bfd0fc7-f97e-425c-ad16-e87709194179" \
https://sso.test.osstech.co.jp/openam/oauth2/introspect
{
"active":true,
"scope":"openid profile",
"client_id":"client1",
"user_id":"osstech1",
"token_type":"access_token",
"exp":1729060368,
"sub":"osstech1",
"iss":"https://sso.test.osstech.co.jp:443/openam/oauth2"
}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/introspect HTTP/1.1
Host: sso.test.osstech.co.jp
Authorization: Basic Y2xpZW50MTpwYXNzd29yZA==
User-Agent: curl/7.61.1
Accept: */*
Content-Length: 42
Content-Type: application/x-www-form-urlencoded
token=7bfd0fc7-f97e-425c-ad16-e87709194179
Authorizationヘッダ
Authorizationヘッダの説明です。
Basicの後にクライアントID:クライアントシークレットをBase64エンコードして指定します。
"Authorization: Basic Y2xpZW50MTpwYXNzd29yZA=="
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| token | 必須 | 検証対象のアクセストークンまたはリフレッシュトークン |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
| クレーム名 | 要否 | 内容 |
|---|---|---|
| active | 必須 | true(有効) or false(無効) |
| scope | 必須(有効時) | 適用したスコープ。 |
| client_id | 必須(有効時) | クライアントID。 |
| user_id | 必須(有効時) | 認証されたユーザーID。 |
| token_type | 必須(有効時) | "access_token" or "refresh_token" |
| exp | 必須(有効時) | トークンの有効期限(タイムスタンプ:秒)。 |
| sub | 必須(有効時) | ユーザー識別子 |
| iss | 必須(有効時) | トークンの発行元。 |
RPでは以下のようにレスポンスを受け取ります。
【トークンが有効のとき】
HTTP/1.1 200 OK
Date: Wed, 16 Oct 2024 05:34:22 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json;charset=UTF-8
Connection: close
Transfer-Encoding: chunked
ca
{
"active":true,
"scope":"openid profile",
"client_id":"client1",
"user_id":"osstech1",
"token_type":"access_token",
"exp":1729060368,
"sub":"osstech1",
"iss":"https://sso.test.osstech.co.jp:443/openam/oauth2"
}
【トークンが無効のとき】
HTTP/1.1 200 OK
Date: Wed, 16 Oct 2024 05:47:55 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json;charset=UTF-8
Connection: close
Transfer-Encoding: chunked
10
{"active":false}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 401 Unauthorized
Date: Wed, 16 Oct 2024 05:52:32 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
4d
{
"error_description":"Client authentication failed",
"error":"invalid_client"
}
Revokeエンドポイント
このエンドポイントではアクセストークンあるいはリフレッシュトークンを破棄します。
OpenAM上のRevokeエンドポイントは/oauth2/token/revokeです。
Curlコマンドを利用してリクエストしてJSONでレスポンスを受け取った例です。
# curl -k --request POST \
--user "client1:password" \
--data "token=186adf8c-d607-49e6-a354-2ab5c3b27012" \
http://sso.test.osstech.co.jp/openam/oauth2/token/revoke
{}
実際のリクエストは以下のようにOPに届きます。
POST /openam/oauth2/token/revoke HTTP/1.1
Host: sso.test.osstech.co.jp
Authorization: Basic Y2xpZW50MTpwYXNzd29yZA==
User-Agent: curl/7.61.1
Accept: */*
Content-Length: 42
Content-Type: application/x-www-form-urlencoded
token=186adf8c-d607-49e6-a354-2ab5c3b27012
Authorizationヘッダ
Authorizationヘッダの説明です。
Basicの後にクライアントID:クライアントシークレットをBase64エンコードして指定します。
"Authorization: Basic Y2xpZW50MTpwYXNzd29yZA=="
リクエストパラメータ
リクエストパラメータの説明です。
| パラメータ | 要否 | 内容 |
|---|---|---|
| token | 必須 | 破棄対象のアクセストークンまたはリフレッシュトークン |
レスポンス内容(正常時)
RPへのレスポンス内容の説明です。
HTTPステータス： 200(OK)
クレームは空となります。
RPでは以下のようにレスポンスを受け取ります。
HTTP/1.1 200 OK
Date: Wed, 16 Oct 2024 07:31:07 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json;charset=UTF-8
Connection: close
Transfer-Encoding: chunked
2
{}
それに対してエラーがあった場合は以下の内容が返ります。
レスポンス内容(エラー時)
RPへのレスポンス内容の説明です。
HTTPステータス： 400(Bad Request) または 401(Unauthorized)
| クエリパラメータ名 | 内容 |
|---|---|
| error | エラーコード |
| error_description | エラーの詳細 |
エラー時は以下のようにRPに届きます。
HTTP/1.1 400 Bad Request
Date: Wed, 16 Oct 2024 07:34:51 GMT
Server: Restlet-Framework/2.3.4
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
Content-Type: application/json
Connection: close
Transfer-Encoding: chunked
4a
{
"error_description":"Missing parameter: token",
"error":"invalid_request"}
おわりに
今回はOpenAMのRestAPIエンドポイントについて実例を示しながら、RPのアクセス方法について理解していく内容を記載しました。
RPを実装する際に一助になれば幸いです。
全5回に渡ってOpenID Connectについての記事を掲載しましたがいかがでしたでしょうか。