Identity as a Service:M2M クライアントトークン呼び出しの例

認証方式の選択

すべての方式は同じトークンエンドポイントに POST リクエストを送信します。アプリケーションの認証情報タイプに一致する方式を選択してください。

前提条件

作業を開始する前に、以下の要件を満たしていることを確認してください。

• M2M が設定された IDaaS EIAM インスタンス

• アプリケーション ID (client_id) および、選択した方式に応じた認証情報 (クライアントシークレット、秘密鍵、または証明書)

• IDaaS EIAM に少なくとも 1 つのリソースサーバーとスコープが設定済みであること

• ご利用のインスタンスのトークンエンドポイント URL：https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token

トークンエンドポイント

すべての方式は、次のエンドポイントに POST リクエストを送信します。

POST https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token

認証方式

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Authorization: Basic <base64-encoded-client-id-and-secret>' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'scope=api://api.example.com|read:file'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2sep******HBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'client_secret=<your-client-secret>' \
     --data-urlencode 'scope=api://api.example.com|read:file'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2******kxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer' \
     --data-urlencode 'client_assertion=<your-jwt-token>' \
     --data-urlencode 'scope=api://api.example.com|read:file'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2se******NHBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer' \
     --data-urlencode 'client_assertion=<your-jwt-token>' \
     --data-urlencode 'scope=api://api.example.com|read:file'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2sep******NHBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'scope=api://api.example.com|.all' \
     --data-urlencode 'application_federated_credential_name=<federated-credential-name>' \
     --data-urlencode 'client_assertion=<your-oidc-token>' \
     --data-urlencode 'client_assertion_type=urn:cloud:idaas:params:oauth:client-assertion-type:id-token-bearer'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2sep******7NHBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'scope=api://api.example.com|.all' \
     --data-urlencode 'application_federated_credential_name=<federated-credential-name>' \
     --data-urlencode 'client_assertion=<your-pkcs7-signature>' \
     --data-urlencode 'client_assertion_type=urn:cloud:idaas:params:oauth:client-assertion-type:pkcs7-bearer'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2sep******7NHBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

curl --request POST \
     --url 'https://<instance-id>.aliyunidaas.com/api/v2/iauths_system/oauth2/token' \
     --header 'Content-Type: application/x-www-form-urlencoded' \
     --data-urlencode 'client_id=<your-client-id>' \
     --data-urlencode 'grant_type=client_credentials' \
     --data-urlencode 'scope=api://api.example.com|.all' \
     --data-urlencode 'application_federated_credential_name=<federated-credential-name>' \
     --data-urlencode 'client_assertion=<your-jwt-token>' \
     --data-urlencode 'client_assertion_type=urn:cloud:idaas:params:oauth:client-assertion-type:x509-jwt-bearer'

{
  "token_type": "Bearer",
  "access_token": "AT8csE2sepE******7NHBkxxHUG",
  "expires_in": 3600,
  "expires_at": 1733710213
}

エラーコード

付録 1：Java を使用した JWT 署名の生成 (RS256 アルゴリズム)

この例を使用して、private_key_jwt 認証方式用の client_assertion JWT を生成します。JWT は RS256 アルゴリズムを使用して RSA 秘密鍵で署名されます。

Maven 依存関係

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

Java コード例

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.security.Key;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
import java.util.UUID;

public class JwtGenerator {
    private static final String PRIVATE_KEY = "your-private-key"; // ご利用の秘密鍵に置き換えてください

    // ご利用のアプリケーションの client_id を入力してください
    private static final String ISSUER = "your_client_id";

    // ご利用のアプリケーションの client_id を入力してください
    private static final String SUBJECT = "your_client_id";

    // ご利用のアプリケーションのトークンエンドポイントを入力してください
    private static final String AUDIENCE = "your_token_endpoint";

    public static void main(String[] args) throws Exception {
        // 鍵
        Key securityKey = RsaKeyConverter.getPrivateKeyFromString(PRIVATE_KEY);

        Map<String, Object> claims = new HashMap<>();
        claims.put("jti", UUID.randomUUID().toString()); // リプレイ防止の jti

        // 有効期限を設定します。30 分を超えてはいけません。
        long expirationTime = 1000 * 60 * 30;
        Date expirationDate = new Date(System.currentTimeMillis() + expirationTime);

        // JWT を生成します
        String jwt = Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(new Date())
                .setExpiration(expirationDate)
                .setSubject(SUBJECT)
                .setIssuer(ISSUER)
                .setAudience(AUDIENCE)
                .signWith(securityKey, SignatureAlgorithm.RS256)
                .compact();

        System.out.println("Generated JWT:");
        System.out.println(jwt);
    }
}

import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.PublicKey;
import java.security.spec.PKCS8EncodedKeySpec;
import java.security.spec.X509EncodedKeySpec;
import java.util.Base64;

public class RsaKeyConverter {

    public static PrivateKey getPrivateKeyFromString(String privateKeyStr) throws Exception {
        // PEM 形式のヘッダーとフッターを削除します
        String privateKeyPEM = privateKeyStr
                .replace("-----BEGIN PRIVATE KEY-----", "")
                .replace("-----END PRIVATE KEY-----", "")
                .replaceAll("\\s+", "");  // すべての空白文字を削除します

        // Base64 デコード
        byte[] encoded = Base64.getDecoder().decode(privateKeyPEM);

        // PKCS8EncodedKeySpec を使用して秘密鍵を生成します
        PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(encoded);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        return keyFactory.generatePrivate(keySpec);
    }

    public static PublicKey getPublicKeyFromString(String publicKeyStr) throws Exception {
        // PEM 形式のヘッダーとフッターを削除します
        String publicKeyPEM = publicKeyStr
                .replace("-----BEGIN PUBLIC KEY-----", "")
                .replace("-----END PUBLIC KEY-----", "")
                .replaceAll("\\s+", "");  // すべての空白文字を削除します

        // Base64 デコード
        byte[] encoded = Base64.getDecoder().decode(publicKeyPEM);

        // X509EncodedKeySpec を使用して公開鍵を生成します
        X509EncodedKeySpec keySpec = new X509EncodedKeySpec(encoded);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        return keyFactory.generatePublic(keySpec);
    }
}

付録 2：Java を使用した JWT 署名の生成 (HS256 アルゴリズム)

この例を使用して、client_secret_jwt 認証方式用の client_assertion JWT を生成します。JWT は HS256 アルゴリズムを使用して client_secret で署名されます。

Maven 依存関係

<dependency>
  <groupId>io.jsonwebtoken</groupId>
  <artifactId>jjwt-api</artifactId>
  <version>0.11.5</version>
</dependency>
<dependency>
  <groupId>io.jsonwebtoken</groupId>
  <artifactId>jjwt-impl</artifactId>
  <version>0.11.5</version>
  <scope>runtime</scope>
</dependency>
<dependency>
  <groupId>io.jsonwebtoken</groupId>
  <artifactId>jjwt-jackson</artifactId>
  <version>0.11.5</version>
  <scope>runtime</scope>
</dependency>

Java コード例

public class JwtGenerator {

    private static final String SECRET_KEY = "your_secret_key"; // ご利用のシークレットキーに置き換えてください

    // ご利用のアプリケーションの client_id を入力してください
    private static final String ISSUER = "your_client_id";

    // ご利用のアプリケーションの client_id を入力してください
    private static final String SUBJECT = "your_client_id";

    // ご利用のアプリケーションのトークンエンドポイントを入力してください
    private static final String AUDIENCE = "your_token_endpoint";

    public static String generateJwt() throws Exception {
        SecretKey secretKey = Keys.hmacShaKeyFor(SECRET_KEY.getBytes());

        Map<String, Object> claims = new HashMap<>();
        claims.put("jti", UUID.randomUUID().toString()); // リプレイ防止の jti

        // 有効期限を設定します。30 分を超えてはいけません。
        long expirationTime = 1000 * 60 * 30;
        Date expirationDate = new Date(System.currentTimeMillis() + expirationTime);

        // JWT を生成します
        String jwt = Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(new Date())
                .setExpiration(expirationDate)
                .setSubject(SUBJECT)
                .setIssuer(ISSUER)
                .setAudience(AUDIENCE)
                .signWith(secretKey, SignatureAlgorithm.HS256)
                .compact();
        return jwt;
    }

    public static void main(String[] args) throws Exception{
        // JWT を生成します
        String jwt = generateJwt();
        System.out.println("Generated JWT: " + jwt);
    }
}