Resource Access Management:OIDC を使用したユーザー情報の取得

用語

{
  "code_challenge_methods_supported": [
    "plain",
    "S256"
  ],
  "subject_types_supported": [
    "public"
  ],
  "response_types_supported": [
    "code"
  ],
  "issuer": "https://oauth.alibabacloud.com",
  "jwks_uri": "https://oauth.alibabacloud.com/v1/keys",
  "revocation_endpoint": "https://oauth.alibabacloud.com/v1/revoke",
  "token_endpoint": "https://oauth.alibabacloud.com/v1/token",
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "scopes_supported": [
    "openid",
    "aliuid",
    "profile"
  ],
  "authorization_endpoint": "https://signin.alibabacloud.com/oauth2/v1/auth"
}

プロセス

1. ユーザーがブラウザを使用してアプリケーションにログインします。

2. アプリケーションはユーザーを Alibaba Cloud OIDC サービスにリダイレクトし、アプリケーションの URL をブラウザに送信します。

   説明

   ユーザーが Alibaba Cloud にログインしていない場合、アプリケーションはユーザーを Alibaba Cloud ログインページにリダイレクトします。

3. ユーザーはブラウザを使用して Alibaba Cloud OIDC サービスにログインし、認証コードをリクエストします。

4. Alibaba Cloud OIDC サービスは、認証コードをブラウザに返します。

5. アプリケーションは、Alibaba Cloud OIDC サービスからユーザーに対応する ID トークンをリクエストします。リクエストには認証コードが必要です。

6. Alibaba Cloud OIDC サービスは、ID トークンとアクセストークンをアプリケーションに返します。アプリケーションは、ID トークンまたはアクセストークンを使用してユーザー情報を取得できます。

   • ID トークンを解析してユーザー情報を取得します。

     アプリケーションは ID トークンの署名を検証する必要があります。アプリケーションは ID トークンの署名公開鍵を取得し、ID トークンの JSON Web トークン（JWT）署名を検証してから、解析されたユーザー情報を取得します。詳細については、「例 1：ID トークンの署名公開鍵を取得する」、「例 2：ID トークンの JWT 署名を検証する」、および「例 3：ID トークンを解析してユーザー情報を取得する」をご参照ください。

   • ID トークンを使用して、アプリケーションのさまざまなモジュールと通信します。

     アプリケーションは ID トークンの署名を検証する必要があります。アプリケーションは ID トークンの署名公開鍵を取得し、ID トークンの JWT 署名を検証します。詳細については、「例 1：ID トークンの署名公開鍵を取得する」および「例 2：ID トークンの JWT 署名を検証する」をご参照ください。

   • アクセストークンを使用して、ユーザー情報を複数回クエリします。

     アプリケーションがアクセストークンを取得した後、アプリケーションは UserInfo 操作を呼び出してユーザー情報を取得します。 UserInfo 操作は、アクセストークンを使用してのみ呼び出すことができ、応答情報はエンコードされません。詳細については、「例 4：アクセストークンと UserInfo 操作を使用してユーザー情報を取得する」をご参照ください。

例 1：ID トークンの署名公開鍵を取得する

リクエスト例

// 署名公開鍵を取得します。
private List getSignPublicKey() {
  HttpResponse response = HttpClientUtils.doGet("https://oauth.alibabacloud.com/v1/keys");
  List rsaKeyList = new ArrayList();
  if (response.getCode() == 200 && response.isSuccess()) {
    String keys = JSON.parseObject(response.getData()).getString("keys");
    try {
      JSONArray publicKeyList = JSON.parseArray(keys);
      for (Object object : publicKeyList) {
        RSAKey rsaKey = RSAKey.parse(JSONObject.toJSONString(object));
        rsaKeyList.add(rsaKey);
      }
      return rsaKeyList;
    } catch (Exception e) {
      LOG.info(e.getMessage());
    }
  }
  LOG.info("GetSignPublicKey failed:{}", response.getData());
  throw new AuthenticationException(response.getData());
}                    

例 2：ID トークンの JWT 署名を検証する

// ID トークンの JWT 署名を検証します。
public boolean verifySign(SignedJWT signedJWT) {
  List publicKeyList = getSignPublicKey();
  RSAKey rsaKey = null;
  for (RSAKey key : publicKeyList) {
    if (signedJWT.getHeader().getKeyID().equals(key.getKeyID())) {
      rsaKey = key;
    }
  }
  if (rsaKey != null) {
    try {
      RSASSAVerifier verifier = new RSASSAVerifier(rsaKey.toRSAPublicKey());
      if (signedJWT.verify(verifier)) {
        return true;
      }
    } catch (Exception e) {
      LOG.info("Verify exception:{}", e.getMessage());
    }
  }
  throw new AuthenticationException("Can't verify signature for id token");
}

例 3：ID トークンを解析してユーザー情報を取得する

• レスポンスパラメーター

  • ヘッダーパラメーター

    パラメーター	説明	必須 OAuth スコープ
    alg	署名アルゴリズム。	openid
    kid	ID トークンの検証に使用される公開鍵。この鍵を使用して署名を検証し、ID トークンが改ざんされないようにする必要があります。	openid

  • ボディパラメーター

    パラメーター	説明	必須 OAuth スコープ
    exp	トークンの有効期限が切れるタイムスタンプ。	openid
    sub	ユーザーを示す一意の文字列。文字列には、ユーザーの UID とユーザー名は含まれていません。 説明 ユーザーが Resource Access Management（RAM）ロールをアシュームする場合、sub パラメーターの値は <RoleId:RoleSessionName> に基づいて生成されます。値は一意であり、ユーザーごとに生成されます。	openid
    aud	トークンの受信者。OAuth アプリケーションの ID です。	openid
    iss	トークンの発行者。値は https://oauth.alibabacloud.com です。	openid
    iat	トークンが発行されたタイムスタンプ。	openid
    type	ユーザーのタイプ。有効な値： account：Alibaba Cloud アカウント user：RAM ユーザー。 role：RAM ロール。	profile
    name	ユーザーの表示名。有効な値： RAM ユーザーが使用されている場合、値は RAM ユーザーの表示名です。 RAM ロールが使用されている場合、値は <RoleName:RoleSessionName> 形式です。 説明 このパラメーターは、RAM ユーザーまたは RAM ロールがリクエストを開始した場合にのみ返されます。	profile
    upn	RAM ユーザーのログイン名。 説明 このパラメーターは、RAM ユーザーがリクエストを開始した場合にのみ返されます。	profile
    login_name	Alibaba Cloud アカウントのログイン名。 説明 このパラメーターは、Alibaba Cloud アカウントがリクエストを開始した場合にのみ返されます。	profile
    aid	ユーザーが属する Alibaba Cloud アカウントの ID。	aliuid
    uid	ユーザーの ID。有効な値： Alibaba Cloud アカウントが使用されている場合、値は aid パラメーターの値と同じです。 RAM ユーザーが使用されている場合、値は RAM ユーザーの ID です。 RAM ロールが使用されている場合、値は RAM ロールの ID です。	aliuid

• レスポンス例

  • レスポンスヘッダーの例

    {
      "alg": "RS256",
      "kid": "JC9wxzrhqJ0gtaCEt2QLUfevEUIwltFhui4O1bh****"
    }

  • レスポンスボディの例

    デモンストレーションのために、次のレスポンス例は、エンコード前の ID トークンを示しています。実際のシナリオでは、エンコードされた ID トークンが返されます。詳細については、「例 2：ID トークンの JWT 署名を検証する」をご参照ください。

    • Alibaba Cloud アカウント開始リクエストのレスポンスボディの例

      {
        "exp": 1517539523,
        "sub": "123456789012****",
        "aud": "4567890123456****",
        "iss": "https://oauth.alibabacloud.com",
        "iat": 1517535923,
        "type": "account",
        "login_name":"alice@example.com", //Alibaba Cloud アカウントのログイン名。
        "aid": "123456789012****", //Alibaba Cloud アカウントの ID。
        "uid": "123456789012****" //Alibaba Cloud アカウントの ID。
      }

    • RAM ユーザー開始リクエストのレスポンスボディの例

      {
        "exp": 1517539523,
        "sub": "123456789012****",
        "aud": "4567890123456****",
        "iss": "https://oauth.alibabacloud.com",
        "iat": 1517535923,
        "type": "user",
        "name": "alice", //RAM ユーザーの表示名。
        "upn": "alice@example.onaliyun.com", //RAM ユーザーのログイン名。
        "aid": "123456789012****", //RAM ユーザーが属する Alibaba Cloud アカウントの ID。
        "uid": "234567890123****" //RAM ユーザーの ID。
      }

    • RAM ロール開始リクエストのレスポンスボディの例

      {
        "exp": 1517539523,
        "sub": "123456789012****",
        "aud": "4567890123456****",
        "iss": "https://oauth.aliyun.com",
        "iat": 1517535923,
        "type": "role",
        "name": "NetworkAdministrator:alice", //RAM ロールの表示名。
        "aid": "123456789012****", //RAM ロールが属する Alibaba Cloud アカウントの ID。
        "uid": "300800165472****" //RAM ロールの ID。
      }

例 4：アクセストークンと UserInfo 操作を使用してユーザー情報を取得する

アクセストークンを取得した後、UserInfo 操作を呼び出してユーザー情報を取得できます。 UserInfo 操作は、アクセストークンを使用してのみ呼び出すことができ、応答情報はエンコードされません。

UserInfo 操作のエンドポイントは、https://oauth.alibabacloud.com/v1/userinfo です。

リクエスト例

// アクセストークンと UserInfo 操作を使用してユーザー情報を取得します。
GET v1/userinfo HTTP/1.1
Host: oauth.alibabacloud.com
Authorization: Bearer SIAV32hkKG

レスポンスパラメーター

レスポンスボディの例

• Alibaba Cloud アカウント開始リクエストのレスポンスボディの例

  HTTP/1.1 200 OK
  Content-Type: application/json
  {
    "sub": "123456789012****", 
    "type": "account",
    "login_name":"alice@example.com", //Alibaba Cloud アカウントのログイン名。
    "aid": "123456789012****", //Alibaba Cloud アカウントの ID。
    "uid": "123456789012****" //Alibaba Cloud アカウントの ID。
  }

• RAM ユーザー開始リクエストのレスポンスボディの例

  HTTP/1.1 200 OK
  Content-Type: application/json
  {
    "sub": "123456789012****", 
    "type": "user",  
    "name": "alice", //RAM ユーザーの表示名。
    "upn": "alice@example.onaliyun.com", //RAM ユーザーのログイン名。
    "aid": "123456789012****", //RAM ユーザーが属する Alibaba Cloud アカウントの ID。
    "uid": "234567890123****" //RAM ユーザーの ID。
  }

• RAM ロール開始リクエストのレスポンスボディの例

  HTTP/1.1 200 OK
  Content-Type: application/json
  {
    "sub": "123456789012****", 
    "type": "role",
    "name": "NetworkAdministrator:alice", //RAM ロールの表示名。
    "aid": "123456789012****", //RAM ロールが属する Alibaba Cloud アカウントの ID。
    "uid": "300800165472****" //RAM ロールの ID。
  }