Tokenをレスポンス。Server)にアクセスする。Tokenを取得する。(追加の)クライアント認証として「OIDCで追加のクライアント認証(JWT)をする場合」が参考になる。Credentialsなので「(追加の)クライアント認証をしない場合」のフローと大差ない。ユースケースのフローがある。仕様として定義されているのは、Tokenエンドポイントに対するリクエスト部のみ。7523のサブ仕様の共通部分を抽象化した仕様。Server)を統合するような状況下での利用が想定されている。Ownerとしてのエンド・ユーザの介入を必要としない。Credentialsグラント種別の)代替メカニズム。†ココとリンクしている。Server(STS)によってAssertionを生成する。†ローカルでAssertionを生成する。†これを使ってアクセストークン・リクエストする。一般的に認可付与の短命表現で、アサーションの有効期間を越えるアクセストークンを発行すべきでない。アサーション許可要求に応答してリフレッシュトークンが発行せず、アクセストークンを短い寿命で発行する。期限切れのアクセストークンをリフレッシュしたり、できる。関連するリソースへのアクセスを取得するために(暗号鍵の所持を証明することなく)アサーションを使用できる。誤用を防止するために、アサーションは、保管・移送における露見から保護する必要がある。権限のない当事者にアサーションを漏らさないために、安全な通信チャネルを使用。)アサーションを提示するエンティティは、関連するリソースにアクセスするには、追加の暗号資料の所持を証明する必要がある。Server(STS)は、アサーションにキー識別子をバインドする。Server)に示す必要がある。鍵所有者アサーションシステムのベースラインとして使用することができるが、場合によっては、以下が必要になる。オーディエンスの要件を緩和するため)。以下のクレームが必要。IDトークンのissの値と同じになる。IDトークンのaudの値と同じになる。IDトークンのaudの値と同じになる。IDトークンのsubの値と同じになる。IDトークンのissの値と同じになる。IDアサーションの一意の識別子。他のエンティティが誤って同じ識別子を割り当てないことを保証しなくてはならない。ワンタイム使用アサーションのメッセージ重複排除を必要とする実装によって使用される可能性がある。(追加の)クライアント認証なしscope(追加の)クライアント認証なし=Googleの例など、(追加の)クライアント認証を使用しない場合、scopeが必要になる。Security)が必須。アサーションの認可付与としての使用を定義。認証スキーマ)を使用する。[RFC6749]の3.3節に記述されているとおり。(追加の)クライアント認証なしGoogleの例など、追加のクライアント認証を使用しない場合、(パラメタとしては、)不要クレームセット中には必要になる。(追加の)クライアント認証あり既存のフローのクライアント認証を使用する。Stringにscopeを指定。クレームセット中からは不要になる。†パラメタに依存するクライアント認証の形式が使用されている場合にのみ必要。(追加の)クライアント認証なし(パラメタとしては、)不要クレームセット中には必要になる。(追加の)クライアント認証あり既存のフローのクライアント認証を使用する。従って、この場合は、client_idが必要になる。ヘッダに指定しないでクレームセット中に設定する。†(追加の)クライアント認証なしRFC7523のアサーションを参照。†(追加の)クライアント認証なし不要(追加の)クライアント認証ありRFC7523のアサーションを参照。"invalid_grant"エラーコードでなければならない。"error_uri"パラメータを使用して、アサーションが無効とみなされた理由に関する追加情報を含めることができる。"invalid_client"エラーコードでなければならない。"error_uri"パラメータを使用して、クライアントのアサーションが無効であると考えられた理由に関する追加情報を含めることができる。7523などを使用すれば、大方問題ない。その他、SSL/TLSを使用する。7521のアサーションにJWT(JWS)アサーションを使用したもの。†これを使ってアクセストークン・リクエストする。claimトークンを受け入れてはならない前の時間を識別する。"http://claims.example.com/member":true}以下、GoogleのJWT(JWS)よくよく確認すると、subが無かったりする。仕様(7521)のパラメタと同じ。client_assertionだけ、以下のような注釈有リ。1つのJWT(JWS)、複数のJWT(JWS)を含んではならない。仕様中に明記がないが、Googleでのレスポンスは以下の通り。refresh_tokenを返さない。仕様(7521)のエラー・レスポンスと同じ。本仕様中に記載はないが、コチラを参考にするとイイ。以外に、クライアント証明書(pfx形式の電子証明書)を使って、サービスアカウントで認証する方法がある模様。Libraryに処理がラッピングされていたため。Libraryの中では、JWTが使用されている模様。authorizationグラント種別」の用例である模様。Profileであることが明記されている。authorizationグラント種別」をサポートしている模様。Library)にラップされているためJWT作成処理の詳細などを見ることは出来ない。ベアラーアサーションフローの2つのフローをサポートしている模様。ベアラーアサーションフローhttps://help.salesforce.com/articleView?id=remoteaccess_oauth_SAML_bearer_flow.htm&language=ja&type=0原理はほぼ同じで、SAMLよりJWTのほうが動作環境的な制約は少ないとのこと。