Token)をレスポンス。Serverにアクセスする。--証明書を登録する。Token)をレスポンス。Serverにアクセスする。[#r8dc51ed]-本使用に適したタイプのアサーション-アサーションを所有しているすべてのエンティティは、--関連するリソースへのアクセスを取得するために(暗号鍵の所持を証明することなく)アサーションを使用できる。--誤用を防止するために、アサーションは、保管・移送における露見から保護する必要がある。--権限のない当事者にアサーションを漏らさないために、安全な通信チャネルを使用。[#r5984214]-本使用に適さないタイプのアサーション-アサーションを提示するエンティティは、--関連するリソースにアクセスするには、追加の暗号資料の所持を証明する必要がある。Server(STS)は、アサーションにキー識別子をバインドする。Serverに示す必要がある。-鍵所有者アサーションシステムのベースラインとして使用することができるが、場合によっては、以下が必要になる。オーディエンスの要件を緩和するため)。Serversは、--一般的に認可付与の短命表現で、アサーションの有効期間を越えるアクセストークンを発行すべきでない。--アサーション許可要求に応答して---リフレッシュトークンが発行せず、---アクセストークンを短い寿命で発行する。-Clientは、--同じアサーションを使用して新しいアサーションを要求したり、--有効・若しくは新しいアサーションを使用して、期限切れのアクセストークンをリフレッシュしたり、>できる。Security)が必須。-アサーションの認可付与としての使用を定義。[#k4e1e004]RFC7523を参照。[RFC6749]>OAuth#v698197b]]の3.3節に記述されているとおり。[#d6680711]-クライアント認証なし~不要-クライアント認証あり~RFC7523を参照。assertion-クライアント認証あり~何故か、grant_type=authorization_codeになる。"invalid_grant"エラーコードでなければならない。"error_uri"パラメータを使用して、~アサーションが無効とみなされた理由に関する追加情報を含めることができる。"invalid_client"エラーコードでなければならない。"error_uri"パラメータを使用して、~クライアントのアサーションが無効であると考えられた理由に関する追加情報を含めることができる。[#f5ac0fc6]以下を、[[アクセストークン・リクエスト>#yf148536]]する。[#bde37566]-[[[RFC7521]>OAuth#c65d5829]]で定義されているのと同じ。-従って、scopeはURLではなく、JWSに同梱されて送信される。Connect#ofb73c59]]が参考になる。claim---許可付与の場合:ユーザIDなど。claim~将来に不当に遠い値を拒否する可能性がある。claim過去に不当に遠い値を拒否する可能性がある。claim---トークンの一意の識別子を提供する。---「exp」の間、「jti」値を維持し、[[JWT]](JWS)が再生されないことを保証する。[[JWT]](JWS)の署名検証により、認証を行う。[#u6f4e327]-通常のパラメタ--client_id--client_secret-クライアント認証にJWTを使用する場合のパラメタ--client_assertion_type~urn:ietf:params:oauth:client-assertion-type:jwt-bearer--client_assertion~1つの[[JWT]](JWS)、複数の[[JWT]](JWS)を含んではならない。交換するアサーションの仕様-単体では利用できず、後の2つのサブ仕様の共通部分を抽象化した仕様。Codeグラント種別>OAuth#yfeb403d]]-[[Implicitグラント種別>OAuth#m5c2d510]]以外に、[[クライアント証明書(pfx形式の電子証明書)>証明書#sd119f77]]を使って、~サービスアカウントで認証する方法がある模様。Libraryに~処理がラッピングされていたため。Libraryの中では、[[JWT]]が使用されている模様。authorizationグラント種別」の用例である模様。Profileであることが明記されている。authorizationグラント種別」をサポートしている模様。Library)>https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-authentication-libraries]]~にラップされているため[[JWT]]作成処理の詳細などを見ることは出来ない。ベアラーアサーションフローの2つのフローをサポートしている模様。ベアラーアサーションフロー~https://help.salesforce.com/articleView?id=remoteaccess_oauth_SAML_bearer_flow.htm&language=ja&type=0>原理はほぼ同じで、[[SAML]]より[[JWT]]のほうが動作環境的な制約は少ないとのこと。