​

はじめに

​

前提条件

• Authlete アカウント (参照→『サインアップから Authlete サービス作成までの手順』)
• Okta アカウント (参照→ Okta ウェブサイト)

​

AS と IdP の連携

1. クライアントアプリケーションがウェブブラウザ経由で AS の認可エンドポイントに認可リクエストを送る。
2. AS の認可エンドポイントは認可ページを生成してウェブブラウザに返す。AS が外部 IdP との ID 連携をサポートしていれば、認可ページに ID 連携用のリンクが含まれる。
3. 表示された認可ページ内の ID 連携用のリンクをユーザーがクリックする。この操作により、選択された IdP との ID 連携を開始する Web API (図中の「(フェデレーション/開始)」) にウェブブラウザがアクセスする。
4. Web API は OpenID Connect に準拠する認証リクエストを作成する。認証リクエストは IdP の認可エンドポイントを指す URL で、クエリー部にリクエストパラメーター群を含む。
5. Web API は Location ヘッダーをつけて 302 Found (リダイレクションを促すものであれば何でもよい) をウェブブラウザに返す。これによりウェブブラウザは IdP の認可エンドポイントに認証リクエストを送ることになる。
6. ウェブブラウザが IdP の認可エンドポイントに認証リクエストを送る。
7. IdP の認可エンドポイントは認可ページを生成してウェブブラウザに返す。その認可ページは、「(クライアントではなく) AS が権限を要求している」とユーザーに伝える。
8. ユーザーは IdP で自身のユーザー認証をおこない、AS からの認証リクエストを承認する。
9. IdP は認可コードを生成し、Location ヘッダーをつけて 302 Found (リダイレクションを促すものであれば何でもよい) をウェブブラウザに返す。これによりウェブブラウザは (クライアントのものではなく) AS のリダイレクション URI に認可コード付きでアクセスする。IdP の視点からは、AS はクライアントアプリケーションであり、当該リダイレクション URI は AS が事前に IdP に登録しておいたものの一つである。
10. AS のリダクレションエンドポイント (図中の「フェデレーション/コールバック」) が認可コードを受け取る。
11. リダイレクションエンドポイントは、IdP のトークンエンドポイントに、受け取った認可コードを含むトークンリクエストを送る。
12. IdP のトークンエンドポイントはアクセストークンと ID トークンを生成して返す。
13. リダイレクションエンドポイントは返却されたアクセストークンを添えて IdP のユーザー情報エンドポイントにアクセスする。
14. IdP のユーザー情報エンドポイントはユーザーの情報を返す。
15. リダイレクションエンドポイントはユーザーが AS にログインしたとみなし、認可ページを再生成してウェブブラウザに返す。
16. ユーザーはクライアントからの当初の認可リクエストを承認する。
17. AS は認可コードを生成し、Location ヘッダーをつけて 302 Found (リダイレクションを促すものであれば何でもよい) をウェブブラウザに返す。これによりウェブブラウザは (AS のものではなく) クライアントのリダイレクション URI に認可コード付きでアクセスする。ここではクライアントが少なくとも一つのリダイレクション URI を事前に AS に登録済みであることを想定している。
18. クライアントのリダクレションエンドポイント (図中の「リダイレクションエンドポイント」) が認可コードを受け取る。
19. クライアントはリダイレクションエンドポイント経由で受け取った認可コードを添えて AS のトークンエンドポイントにアクセスする。
20. AS のトークンエンドポイントはアクセストークンを生成してクライアントに返す。

​

IdP (Okta) の設定

​

AS (java-oauth-server) の設定

$ git clone https://github.com/authlete/java-oauth-server
$ cd java-oauth-server
$ vi authlete.properties

{
  "federations": [
    {
      "id": "okta",
      "server": {
        "name": "Okta-hosted IdP",
        "issuer": "https://YOUR_COMPANY.okta.com"
      },
      "client": {
        "clientId": "YOUR_CLIENT_ID",
        "clientSecret": "YOUR_CLIENT_SECRET",
        "redirectUri": "http://localhost:8080/api/federation/callback/okta",
        "idTokenSignedResponseAlg": "RS256"
      }
    }
  ]
}

$ docker-compose up
    # もしくは mvn jetty:run

app_1  | [INFO] Started ServerConnector@7c5ae5c3{HTTP/1.1, (http/1.1)}{0.0.0.0:8080}
app_1  | [INFO] Started @41702ms
app_1  | [INFO] Started Jetty Server

​

動作確認

http://localhost:8080/api/authorization?client_id=CLIENT_ID&response_type=id_token&scope=address+email+openid+phone+profile&redirect_uri=https://api.authlete.com/api/mock/redirection/SERVICE_API_KEY&nonce=mynonce&state=mystate&prompt=login

​

まとめ

​

付録

​

実装の詳細

​

federations.json

{
  "federations": [
    "(ID 連携の設定群)"
  ]
}

{
  "federations": [
    {
      "id": "(設定群内で一意となる識別子)",
      "server": {
        "(サーバー設定)"
      },
      "client": {
        "(クライアント設定)"
      }
    }
  ]
}

• /api/federation/initiation/federationId
• /api/federation/callback/federationId