Identity as a Service:トークン交換を使用したサービス間のアクセス委任

ステップ 1：初期アクセストークンの取得

OAuth 2.0 認可コードフローを介して、呼び出し元クライアントの有効なアクセストークンを取得します。このトークンは、交換リクエストの subject_token になります。

すでに有効なアクセストークン (例えば、ユーザーのログインセッションからのトークン) を保持している場合は、ステップ 2 に進んでください。

ステップ 2：トークンエンドポイントの呼び出し

IDaaS トークンエンドポイントに POST リクエストを送信します。

エンドポイント

POST https://{domain}/api/v2/iauths_system/oauth2/token

{domain} をご利用の IDaaS インスタンスのドメイン (例：example.jp.idaas.com) に置き換えます。

パラメーター

リクエスト例

curl -X POST 'https://{domain}/api/v2/iauths_system/oauth2/token' \
  --data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
  --data-urlencode 'subject_token=<subject_token>' \
  --data-urlencode 'subject_token_type=urn:ietf:params:oauth:token-type:access_token' \
  --data-urlencode 'requested_token_type=urn:ietf:params:oauth:token-type:access_token' \
  --data-urlencode 'scope=mcp-server|user:read' \
  --data-urlencode 'audience=mcp-server' \
  --data-urlencode 'client_id=<client_id>' \
  --data-urlencode 'client_secret=<client_secret>'

レスポンス例

{
  "access_token": "eyJraWQiOiJBVVRI...xxxx",
  "issued_token_type": "urn:ietf:params:oauth:token-type:access_token",
  "token_type": "Bearer",
  "expires_in": 3600,
  "expires_at": 1772605468,
  "scope": "user:read"
}

レスポンスフィールド

エラーコード

ステップ 3：ターゲットサービスの呼び出し

ターゲットリソースサーバーを呼び出す際に、新しいトークンを Authorization ヘッダーで渡します。

curl -X GET 'https://<resource_server>/api/protected-resource' \
  -H 'Authorization: Bearer <access_token>'

プレースホルダーを実際の値に置き換えます。

• <resource_server>：ターゲットサービスのドメイン。

• <access_token>：ステップ 2 で返されたトークン。

ユースケース

ある会社が旅行計画エージェントと人事 (HR) MCP サービスを運用しています。従業員がエージェントに旅行の計画を依頼すると、エージェントは人事サービスから従業員の職位と出張予算を取得する必要があります。

トークン交換を使用すると、エージェントは従業員のトークンを人事 MCP サービスにスコープ指定されたトークンに交換します。従業員は再度ログインを求められることはなく、人事側は誰がリクエストを行っているかを正確に把握できます。

ロールのマッピング

得られるメリット

• 最小権限アクセス：交換されたトークンは、エージェントが人事サービスで必要とする権限のみを付与します。

• 追加のログイン不要：元のユーザー ID はチェーン全体を通じて引き継がれます。

• 完全な監査証跡：すべてのホップが記録され、追跡可能です (下記参照)。

コンソールでの交換ログの表示

すべてのトークン交換リクエスト (成功、失敗を問わず) は、IDaaS コンソールの Log > Call Logs に、イベントタイプ [トークン交換] として記録されます。各エントリには以下が記録されます。

• 交換をリクエストしたクライアント。

• サブジェクト (エンドユーザーアカウント)。

• サブジェクトトークン ID と関連メタデータ。

JWT での委任チェーンの追跡

IDaaS トークン交換によって生成されるすべてのトークンは、署名付きの JWT です。カスタムクレーム _idaas_imp には完全な委任チェーンが埋め込まれているため、どのトークンをデコードしても、どのクライアントが関与したかを正確に確認できます。

デコードされたペイロード (3 ホップチェーン)

{
  "sub": "user_xxxxxxxxxxxxxxxxxxxx",
  "scope": "user:read",
  "jti": "AT_03",
  "iss": "https://{domain}/api/v2/iauths_system/oauth2",
  "iat": 1772604268,
  "nbf": 1772604268,
  "exp": 1772605468,
  "aud": "mcp-server",
  "client_id": "app_03",
  "_idaas_iid": "idaas_xxxxxxxxxxxxxxxxxxxx",
  "_idaas_tag": "user-auth",
  "_idaas_imp": {
    "jti": "AT_02",
    "client_id": "app_02",
    "_idaas_imp": {
      "jti": "AT_01",
      "client_id": "app_01"
    }
  }
}

チェーンの読み方