OpenAMでOAuth 2.0 Device Flow

OpenAM

Posted at 2016-12-23

Web Viewや外部のブラウザが利用できないデバイス

スマートフォン上で動作するネイティブアプリや、ブラウザ上で動作するシングルページアプリケーションであれば、ユーザー認証・認可をすることができます。しかし、セットトップボックスや〇〇tvみたいなデバイスの多くはサインイン画面を表示できないため、こういったデバイス向けのインターフェースが必要となります。

OAuth 2.0 Device Flow

UIをもたないClient向けにAccess Tokenを発行するフローがOAuth 2.0 Device Flowです。現在はドラフトスペックですが、以下に定義されています。

https://tools.ietf.org/html/draft-ietf-oauth-device-flow-03

たぶん、説明するより図を見た方がわかりやすいと思います。

認証はResource Ownerが持っている別のUI（ブラウザなど）で行うんですが、Authorization Requestとの紐づけをVerification Codeで行っています。Verificationが行われるまでClientはPollingします。その後、Authorization ServerからAccess Tokenが発行されます。

tv-player

このDevice FlowをOpenAMで試すためのClientアプリがgithub上に公開されています。

https://github.com/smof/tv-player

OpenAMにClient登録

いつも通り、管理者アカウント（amadmin）でサインインします。

Application -> OAuth 2.0から以下の設定をし、クライアント登録をします。

key	value
client id	TVPlayer
client secret	Passw0rd
scope	givenname postaladdress description

tv-playerのセットアップ

まず、npmをインストールします

$ yum -y install npm
$ node -v
v0.10.46

tv-playerをgit cloneします。

$ git clone https://github.com/smof/tv-player.git

今回利用しているOpenAMの構成に合うように、ソースを少し修正します。

$ cd ./tv-player
$ sed -i 's/openam\(\.example\.com\)/iam\1/' routes/pair.js 
$ sed -i 's/openam\(\.example\.com\)/iam\1/' routes/pairNotification.js 
$ sed -i 's/openam\(\.example\.com\)/iam\1/' routes/favourites.js

ちなみにソース上でこんな設定がされています。

        //OAuth2 client details
        var CLIENTID="TVPlayer";
        var CLIENTSECRET="Passw0rd";
        var RESPONSE_TYPE="token";
        var SCOPE="description%20givenname%20postaladdress";
        //Base64 encoded OAuth2 client credentials
        var CLIENTCREDS = CLIENTID + ":" + CLIENTSECRET;
        var B64CLIENTCREDS = new Buffer(CLIENTCREDS).toString('base64');

        //Variable sent in the post request
        deviceCode=req.body.deviceCode;
        console.log("DeviceCode: " + deviceCode);


        //Create HTTP request to query OpenAM to see if authorization has taken place
        var options = {
                          host: 'iam.example.com',
                          path: '/openam/oauth2/access_token',
                          port: '8080',
                          method: 'POST',
                      headers:  {'Content-Type' : 'application/x-www-form-urlencoded'}
        };