Identity as a Service:自社開発アプリケーションの SSO 構成

​

パラメーター

説明

例

基本構成 (必須)

ログオン

リダイレクト URI

リダイレクト URI のホワイトリスト。アプリケーションがログインをリクエストする際、redirect_uri パラメーターを付与します。認証完了後に IDaaS がリダイレクトを開始するには、この値がホワイトリストに登録されている必要があります。

http://www.xxxx/oidc/sso

http://www.xxxx/oidc/sso2

権限付与範囲

詳細については、「SSO の概要」をご参照ください。

すべてのユーザー

高度な構成（オプション）

ユーザー情報

スコープ

UserInfo エンドポイントを使用して取得できるユーザーの ID 情報。

• openid

• email

• phone

• profile

複数選択: OpenID

複数選択: メール

複数選択: プロファイル

access_token

の有効期間

access_token は IDaaS API をリクエストするために使用されます。デフォルトの有効期間は 20 分、最小 5 分、最大 24 時間です。有効期限が切れた後は、refresh_token を使用してリフレッシュするか、再度ログインする必要があります。

20分

id_token

有効期間

id_token はユーザーを識別するために使用されます。JWT 形式であり、アプリケーションは公開鍵を使用してユーザーの ID を検証できます。有効期限が切れた後は、refresh_token を使用してリフレッシュするか、再度ログインする必要があります。

IDaaS のさまざまな tokens で id_token のフォーマットを確認してください。

10時間

refresh_token

有効期間

新しい access_token と id_token を取得するために使用されます。refresh_token の有効期限が切れた後、ユーザーは再度ログインする必要があります。

30日

拡張 id_token

フィールド

id_token のペイロードフィールドを拡張して、ユーザーの機密性の低い基本情報を返すことができます。これにより、ユーザー情報エンドポイントへの繰り返し呼び出しを回避できます。注: ペイロードに追加されたフィールドは公開されます。必要に応じて使用してください。

-

SSO イニシエーター

OIDC プロトコルは、アプリケーションが開始する SSO を自然にサポートします。

ポータル開始とアプリケーション開始をサポート を選択した場合は、次のフィールドに入力する必要があります: ポータルログオン開始アドレス。

ポータルまたはアプリケーションから開始できます。

ログオン開始アドレス

IDaaS が SSO リクエストを開始するときにアクセスされるアプリケーションアドレス。このアドレスがリクエストを受信すると、すぐに /authorize 権限付与ポートリクエストを開始する必要があります。

http://www.xxxx/oidc/login

id_token 署名アルゴリズム

id_token の署名には非対称アルゴリズムが使用されます。現在、RSA-SHA256 アルゴリズムのみがサポートされています。

SHA256

ログオフコールバックアドレス

IDaaS からログオフした後のアプリケーションコールバックアドレスのホワイトリスト。アプリケーションは SLO リクエストを開始するときにこれを付与できます。

http://www.xxxx.com

パラメーター

説明

例

発行者

id_token 内のトークンのソースを示すフィールド。これは、以下のインターフェイスの baseUrl でもあります。

https://xxxxx.aliyunidaas.com/oidc1

Discovery

ディスカバリー

IDaaS が現在サポートしているエンドポイント、サポートされているパターン、およびパラメーターに関する情報を取得するために使用されます。これは公開アクセス可能です。

https://xxxxx.aliyunidaas.com/oidc1/.well-known/openid-configuration

Authorization

認証

アプリケーションが SSO をリクエストするエンドポイント。

https://xxxxx.aliyunidaas.com/oidc/authorize

Token

トークン

シングルサインオンプロセス中に認証コード code を取得した後、アプリケーションがバックエンドからリクエストを開始して token と交換するためのインターフェイスアドレス。

https://xxxxx.aliyunidaas.com/oauth2/token

トークンの取り消し

失効

発行済みトークンを失効させるために使用されるエンドポイント。

https://xxxxx.aliyunidaas.com/oauth2/revoke

署名検証用の公開鍵エンドポイント

JWKS

id_token を検証し、SSO フローを完了するために使用される公開鍵エンドポイント。公開鍵はローテーションされる可能性があります。

https://xxxxx.aliyunidaas.com/oidc1/slo

ユーザー情報

ユーザー情報

ログオン後に access_token を使用して基本的なユーザー情報を取得するためのエンドポイント。

https://xxxxx.aliyunidaas.com/oidc1/userinfo

セッション終了エンドポイント

SLO

ユーザーは IDaaS のプライマリログオン状態からログオフします。

-