18:33:56)追加された行はこの色です。削除された行はこの色です。.NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。Tokenを要求する方法の定義。-[[GoogleやMicrosoft、SalesforceなどのWebAPI認証の方式として採用されている>#xd03a507]]。-事前に信頼関係を構築できるシステムからユーザ承認手順なしに直接WebAPI接続する場合に有効な方法。7523>#c65d5829]]によって構成されている。Assertion>#n8fdd9f7]]で、--クライアントと事前に鍵交換して署名するので、>クライアント認証をしないパターンが採用されているらしい。--証明書を登録する。Token)をレスポンス。Serverにアクセスする。Serverを統合するような状況下での利用が想定されている。Ownerとしてのエンド・ユーザの介入を必要としない。Credentialsグラント種別の)代替メカニズム。-クライアント認証はオプション([[用例>#xd03a507]]ではクライアント認証を使用していないケースが多い)。[#vf7e7da7]STSによってアサーションを取得する。[OASIS.WS-Trust]などで利用されている。[#n8fdd9f7]ローカルでアサーションを作成する。Serversは、--一般的に認可付与の短命表現で、~アサーションの有効期間を越えるアクセストークンを発行すべきでない。--アサーション許可要求に応答して---リフレッシュトークンが発行せず、---アクセストークンを短い寿命で発行する。--証明書を登録する。Serverにリクエスト、>できる。Token)をレスポンス。Assertions--本仕様に適したタイプのアサーション--アサーションを所有しているすべてのエンティティは、---関連するリソースへのアクセスを取得するために(暗号鍵の所持を証明することなく)アサーションを使用できる。---誤用を防止するために、アサーションは、保管・移送における露見から保護する必要がある。---権限のない当事者にアサーションを漏らさないために、安全な通信チャネルを使用。Serverにアクセスする。[#r8dc51ed]-本使用に適したタイプのアサーション-アサーションを所有しているすべてのエンティティは、--関連するリソースへのアクセスを取得するために(暗号鍵の所持を証明することなく)アサーションを使用できる。--誤用を防止するために、アサーションは、保管・移送における露見から保護する必要がある。--権限のない当事者にアサーションを漏らさないために、安全な通信チャネルを使用。[#r5984214]-本使用に適さないタイプのアサーション-アサーションを提示するエンティティは、--関連するリソースにアクセスするには、追加の暗号資料の所持を証明する必要がある。Assertions--本仕様に適さないタイプのアサーション--アサーションを提示するエンティティは、---関連するリソースにアクセスするには、---追加の暗号資料の所持を証明する必要がある。Server(STS)は、アサーションにキー識別子をバインドする。Serverに示す必要がある。-鍵所有者アサーションシステムのベースラインとして使用することができるが、場合によっては、以下が必要になる。オーディエンスの要件を緩和するため)。--鍵所有者アサーションシステムのベースラインとして使用することができるが、場合によっては、以下が必要になる。オーディエンスの要件を緩和するため)。[#p574a133]以下のクレームが必要。Serversは、--一般的に認可付与の短命表現で、アサーションの有効期間を越えるアクセストークンを発行すべきでない。--アサーション許可要求に応答して---リフレッシュトークンが発行せず、---アクセストークンを短い寿命で発行する。Connect#ofb73c59]]が参考になる。-Clientは、--同じアサーションを使用して新しいアサーションを要求したり、--有効・若しくは新しいアサーションを使用して、期限切れのアクセストークンをリフレッシュしたり、-必須>できる。Assertion>#n8fdd9f7]]の場合、~Audienceの値と同じになる。モデル]]~Audienceの値と同じになる。ID---アサーションの一意の識別子。他のエンティティが誤って同じ識別子を割り当てないことを保証しなくてはならない。---ワンタイム使用アサーションのメッセージ重複排除を必要とする実装によって使用される可能性がある。Security)が必須。-アサーションの認可付与としての使用を定義。[#k4e1e004]RFC7523を参照。[[RFC7523>#i523cb7d]]のアサーションを参照。[RFC6749]>OAuth#v698197b]]の3.3節に記述されているとおり。[RFC6749]>OAuth#v698197b]]の3.3節に記述されているとおり。-スターターでQueryStringにscopeが必要であれば指定が必要だと思うが、結果として、アサーションに同梱されれは良い。[#c3be6c2e]-クライアント認証なし~パラメタに依存するクライアント認証の形式が使用されている場合にのみ必要-パラメタに依存するクライアント認証の形式が使用されている場合にのみ必要。[#d6680711]-クライアント認証なし~不要-クライアント認証あり~RFC7523を参照。[[RFC7523>#i523cb7d]]のアサーションを参照。assertion-クライアント認証あり~何故か、grant_type=authorization_codeになる。"invalid_grant"エラーコードでなければならない。"error_uri"パラメータを使用して、~アサーションが無効とみなされた理由に関する追加情報を含めることができる。"invalid_client"エラーコードでなければならない。"error_uri"パラメータを使用して、~クライアントのアサーションが無効であると考えられた理由に関する追加情報を含めることができる。7523>#c65d5829]]などを使用すれば、大方問題ない。-その他、--SSL/TLSを使用する。7521>#pae256bf]]のアサーションに[[JWT(JWS)アサーション>#s121ce30]]を使用したもの。ID-クライアント認証を行う場合、~[[JWT]](JWS)アサーションを使用するが、その仕組み自体は定義されていない。--と言いつつ、Subjectにclient_idを設定するという記述がある。--また、[[用例>#xd03a507]]では、クライアントと鍵交換+署名で代替されているもよう。[#f5ac0fc6]以下を、[[アクセストークン・リクエスト>#yf148536]]する。[#c145a29b]urn:ietf:params:oauth:grant-type:jwt-bearer[[仕様(7521)のパラメタ>aed15519]]と同じ。[#bde37566]-[[[RFC7521]>OAuth#c65d5829]]で定義されているのと同じ。-従って、scopeはURLではなく、JWSに同梱されて送信される。Connect#ofb73c59]]が参考になる。claim---許可付与の場合:ユーザIDなど。claim~将来に不当に遠い値を拒否する可能性がある。claim過去に不当に遠い値を拒否する可能性がある。claim---トークンの一意の識別子を提供する。---「exp」の間、「jti」値を維持し、[[JWT]](JWS)が再生されないことを保証する。[[JWT]](JWS)の署名検証により、認証を行う。[#u6f4e327]-通常のパラメタ--client_id--client_secret-クライアント認証にJWTを使用する場合のパラメタ--client_assertion_type~urn:ietf:params:oauth:client-assertion-type:jwt-bearer--client_assertion~1つの[[JWT]](JWS)、複数の[[JWT]](JWS)を含んではならない。交換するアサーションの仕様-単体では利用できず、後の2つのサブ仕様の共通部分を抽象化した仕様。Codeグラント種別>OAuth#yfeb403d]]-[[Implicitグラント種別>OAuth#m5c2d510]]以外に、[[クライアント証明書(pfx形式の電子証明書)>証明書#sd119f77]]を使って、~サービスアカウントで認証する方法がある模様。Libraryに~処理がラッピングされていたため。Libraryの中では、[[JWT]]が使用されている模様。authorizationグラント種別」の用例である模様。Profileであることが明記されている。authorizationグラント種別」をサポートしている模様。Library)>https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-authentication-libraries]]~にラップされているため[[JWT]]作成処理の詳細などを見ることは出来ない。ベアラーアサーションフローの2つのフローをサポートしている模様。ベアラーアサーションフロー~https://help.salesforce.com/articleView?id=remoteaccess_oauth_SAML_bearer_flow.htm&language=ja&type=0>原理はほぼ同じで、[[SAML]]より[[JWT]]のほうが動作環境的な制約は少ないとのこと。