.NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。再度完読して加筆・修正。[#y974f9a7]このプロファイルを簡単に説明すると、以下のようになる。attackの可能性がある。[#h3bfbf17]-パラメタを要求。Optional)-[[JWE]]暗号化~アルゴリズムの指定は無し。IDトークン#c007540d]]-更に、[[切り離された署名のためのs_hash>#i246cd31]]。[#i246cd31]-認可レスポンスが改ざんされていないことを検証。IDトークン#c007540d]]に加え、--s_hash>の値を検証する。値のASCII表現のオクテットのハッシュの左端の半分をbase64urlエンコーディング---ハッシュはIDトークンのJOSEヘッダのalgパラメタで使用されるアルゴリズム。--例:algがHS512の場合---state値をASCIIエンコードし、---SHA-512でハッシュ化し、---左端の256ビットを切り出し、---base64urlエンコードする。-この代替に「[[JARM>#j3ade667]]」と言う仕様もある。Assurance)#kdf5a643]]-特定される身元識別情報の信用度が「相当程度ある」。-パスワードだけではなく、2要素以上を用いてユーザー認証をする。Connect#y7bdab62]](private_key_jwt)--「[[MTLS>#yc3529a9]]」(「[[OAUTB>#b8a7bd37]]」の場合は?以下のように書かれているため、「[[MTLS>#yc3529a9]]」を使用するのかも。>FAPIクライアントが「[[MTLS>#yc3529a9]]」または「[[OAUTB>#b8a7bd37]]」を使用する場合、認証コードはTLSチャネルにバインドされます。[#i309b755]紐付け(トークン・バインディング)のために以下の何れかをサポートする必要がある。Profile)#abd50397]]」に準拠。Profile)#abd50397]]」に準拠。-[[Confidentialクライアント>#b1fc3c02]]をサポートする。-また、[[Publicクライアント>#e482f66f]]をサポートすべき。[#g0db887f]-[[切り離された署名のためのs_hash>#i246cd31]]-紐付け(トークン・バインディング)のために以下の何れかをサポートする必要がある。[#b1fc3c02]-[[クライアント認証>#vdf3136c]]が必要。[[JWE]]の[[IDトークン>#g7df69b2]]の要求が必要%%推奨される%%。[#e482f66f]-[[クライアント認証>#vdf3136c]]は不要。PKCE]]をサポート---「ハッシュ関数」には、「S256」を使用する。Redirection」を使用する。IDトークン#l52144f8]]を検証する。-各カギは、--SPA系は、クライアント端末ごとになる。--Nativeは、インストール(インスタンス)毎になる。Profile)#abd50397]]」に準拠。[#ha94c6d8]-[[Publicクライアント>#e482f66f]]の場合、必須。Serverがホストする。(JAR)#s5ba22a4]]--これにより、Clientが指定したrequest_uriへの要求をサポートする必要が無い。(JAR)]]の機密性のためにURIのエントロピーに依存しない。--request_uriは、以下の何れか。expクレームを含める必要がある)。--OAuth2の認可リクエスト仕様で要求されている場合は、一致した重複を更に送信しても良い。(JAR)]]の登録リクエストっぽい。Discovery#x1d64798]]される。zCYIb_NMXvtTIVc1jpspnTSD7xMbpL-2QgwUsAlMGzwなので、request_uriの形式は、URNになるのが既定と考える。error~署名検証が失敗した場合。error~要求サイズが上限を超える場合。error~ある期間にClientからの要求数が上限を超えた場合。[#l62c0fa8]-[[Publicクライアント>#e482f66f]]の場合、AuthZ実装も大変だが、Client実装が大変。-特に、JavaやJavaScriptで[[JWT]]検証処理等を実装する必要が出てくる。-このためか、[[JWE]]が[[Publicクライアント>#e482f66f]]のFlowで求められていない。Connect]]を除く。