OIDC におけるリソース所有者パスワードフロー

OIDC 準拠パイプラインがリソース所有者パスワード（ROP）フローに与える影響について学びます。

リソース所有者パスワードフロー (リソース所有者 Password Grant または ROPG と呼ばれることもあります) は、高信頼アプリケーションがアクティブ認証を提供するために使用されます。認可コードグラントや Implicit grant とは異なり、この認証の仕組みではユーザーは Auth0 にリダイレクトされません。単一のリクエストでユーザーを認証し、パスワード資格情報をトークンと交換します。

OIDC 準拠パイプラインは、次の領域でリソース所有者パスワードフローに影響を与えます。

• 認証リクエスト
• 認証レスポンス
• ID トークン の構造
• アクセストークン の構造

​

認証リクエスト

​

従来

POST /oauth/ro HTTP 1.1
Content-Type: application/json
{
  "grant_type": "password",
  "client_id": "123",
  "username": "alice",
  "password": "A3ddj3w",
  "connection": "my-database-connection",
  "scope": "openid email favorite_color offline_access",
  "device": "my-device-name"
}

offline_access スコープを指定してリフレッシュトークンをリクエストする場合にのみ、device パラメータが必要です。

​

OIDC 準拠

POST /oauth/token HTTP 1.1
Content-Type: application/x-www-form-urlencoded
grant_type=http%3A%2F%2Fauth0.com%2Foauth%2Fgrant-type%2Fpassword-realm&client_id=123&username=alice&password=A3ddj3w&realm=my-database-connection&scope=openid+email+offline_access&audience=https%3A%2F%2Fapi.example.com

• 認証情報交換に使用するエンドポイントは /oauth/token です。
• Auth0 独自のグラントタイプは、特定の接続 (realm) に属するユーザーを認証するために使用されます。標準の OIDC パスワードグラントもサポートされていますが、realm などの Auth0 固有のパラメーターは受け付けません。
• favorite_color は、現在は有効なスコープではありません。
• device パラメーターは削除されました。
• audience パラメーターは省略可能です。

​

認証レスポンス

​

従来

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
    "access_token": "SlAV32hkKG",
    "token_type": "Bearer",
    "refresh_token": "8xLOxBtZp8",
    "expires_in": 3600,
    "id_token": "eyJ..."
}

• 返されたアクセストークンは、/userinfoエンドポイントの呼び出しにのみ使用できます。
• リフレッシュトークンは、device パラメータが渡され、offline_access スコープが要求された場合にのみ返されます。

​

OIDC 準拠

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
    "access_token": "eyJ...",
    "token_type": "Bearer",
    "refresh_token": "8xLOxBtZp8",
    "expires_in": 3600,
    "id_token": "eyJ..."
}

• 返されるアクセストークンは、/userinfo エンドポイントの呼び出しに有効です (audience パラメーターで指定された API が 署名アルゴリズム として RS256 を使用している場合) 。また、必要に応じて audience パラメーターで指定された リソースサーバー に対しても有効です。
• パブリックアプリケーションによって要求された場合、ID トークンは強制的に RS256 で署名されます。詳しくは、Confidential and Public Applications を参照してください。
• リフレッシュトークンが返されるのは、offline_access スコープが付与された場合のみです。

​

ID トークンの構造

​

レガシー

​

OIDC 準拠

• ID トークンは、パブリックアプリケーションから要求された場合、強制的に RS256 で署名されます。
• favorite_color クレームは名前空間付きにし、ルールを使って追加する必要があります。詳しくは、名前空間付きカスタムクレームを作成する をご覧ください。

​

アクセストークンの構造 (オプション)

​

従来方式

JSON

SlAV32hkKG

返されたアクセストークンはopaqueで、/userinfoエンドポイントの呼び出しにのみ有効です。

​

OIDC 準拠

• 返されるアクセストークンは、JWT であり、/userinfo エンドポイントの呼び出しに有効です (audience パラメータで指定された API が 署名アルゴリズム として RS256 を使用している場合) 。また、audience パラメータで指定されたリソースサーバーに対しても有効です。
• 指定された オーディエンス が /userinfo のみである場合でも、opaque なアクセストークンが返される可能性があることに注意してください。

​

標準のパスワードグラントリクエスト

Auth0 の password realm grant は標準の OIDC では定義されていませんが、Auth0 固有の realm パラメータをサポートしているため、従来のリソース所有者エンドポイントに代わるものとして推奨されています。OIDC 認証を使用する場合は、標準の OIDC フローもサポートされています。

​

さらに詳しく

• OIDCでのアクセストークン
• OIDCでの外部API
• OIDCでの認可コードフロー
• OIDCでのクライアント認証情報フロー
• OIDCでのImplicit Flow
• OIDCでのリフレッシュトークン