バックチャネルログイン

CIBAのバックチャネルログインフローを使用して、認証リクエストをユーザーの登録済みデバイスへ直接送信します。

​

エンドポイント

POST /bc-authorize

バックチャネルログイン エンドポイントを使用すると、アプリがインストールされており、Guardian SDK を使用したプッシュ通知に登録済みであれば、アプリケーションからユーザーのスマートフォンまたは認証デバイスに認証リクエストを送信できます。

バックチャネルログイン エンドポイントは、次のようなユースケースでユーザーを認証する際に使用します。

• たとえばコールセンターに電話しているときのように、ユーザーが認証を必要とするアプリケーションの前にいない場合。
• サービス利用用のデバイス (コンテンツ消費デバイス) や、ユーザーのサービス利用を補助するデバイスが、機密性の高い操作には安全でない場合 (例: 金融取引で使用するウェブブラウザー) 。
• サービス利用用のデバイス (コンテンツ消費デバイス) の対話機能が限られている場合 (例: 電動自転車や電動キックボード) 。

​

レスポンス本文

リクエストが成功すると、次のようなレスポンスが返されます。

{
  "auth_req_id": "eyJh...",
  "expires_in": 300,
  "interval": 5
}

auth_req_id の値は、後続のフローで認証リクエストを識別するために使用されるため、そのまま保持してください。

expires_in の値は、認証リクエストの有効期限が切れるまでの残り秒数を示します。

interval の値は、ポーリングリクエストの間隔として何秒待つ必要があるかを示します。

リクエストの承認または拒否は、Guardian SDK を使用してユーザーの認証デバイス上で行う必要があります。

​

備考

• login_hint の値は iss_sub 形式です。たとえば:

{ "format": "iss_sub", "iss": "https://[TENANT_DOMAIN]/", "sub": "auth0|[USER ID]" }

• 認証には、Client Secret (HTTP Basic Auth または POST 経由) 、Private Key JWT、または mTLS を使用できます。詳しくは、上記の例を参照してください。

​

Body Parameters

client_id · string · 必須

アプリケーションの client_id。

binding_message · string · 必須

ユーザーが正しいリクエストを承認していることを確認するための、人が読んで理解できる文字列です。

login_hint · string · 必須

iss_sub 形式で、認証に必要なユーザー情報を含む JSON オブジェクトです。

scope · string · 必須

OIDC およびカスタム API のスコープをスペース区切りで並べたリストです。少なくとも openid を含める必要があります。

audience · string

アクセストークン用の対象 API を示す、省略可能な一意の識別子です。

resource · string

アクセスする対象 API (リソースサーバー) の識別子です。Auth0 テナントに登録されている API Identifier と一致している必要があります。テナントの Resource Parameter Compatibility Profile が compatibility に設定されている場合は、audience の代わりに使用されます。

requested_expiry · string

リクエストのカスタム有効期限 (秒単位) です (1～300) 。デフォルトは 300 秒です。

authorization_details · array

承認対象の権限を記述する、省略可能な JSON オブジェクトの配列です。各オブジェクトの type 値は、事前にリソースサーバーの authorization_details パラメーターを使用して登録しておく必要があります。詳しくは、Update a resource server の Management API ドキュメントを参照してください。

​

レスポンスメッセージ

ステータス	説明
200	認証リクエストが正常に開始されました。
400	不正なリクエスト - 無効なパラメーター
500	サーバー内部エラー