Open ID Connect プロトコルを使用してエンド ユーザーが IDP を介して認証できるようにするには、IDP で次のパラメータを構成する必要があります。
OIDC アプリケーションの構成
-
ID プロバイダ (IDP) は、有効な OIDC アプリケーションを使用して設定する必要があります。
-
IDP が受信要求で
redirect_uriを検証する場合、アプリケーションには次の形式のリダイレクト URI を含める必要があります。https://<LB_URL>/portal/oidcAuthCodeCallback -
<LB_URL>は、Unified Access Gateway に送信された要求の次の HTTP ヘッダーのいずれかに含まれる値に対応している必要があります。- X-Forwarded-Host
- ホスト
-
X-Forwarded-Host と Host の両方が存在する場合は、X-Forwarded-Host が使用されます。
検出ドキュメントの要件
Unified Access Gateway が OIDC 検出エンドポイント（通常は /.well-known/openid-configuration）を要求する場合、IDP は少なくとも次のフィールドで応答する必要があります。
| フィールド名 | 説明 |
|---|---|
issuer | IDP の一意の識別子 |
authorization_endpoint | 認証要求の URL |
token_endpoint | トークンの認証コードを交換する URL |
userinfo_endpoint | ユーザー情報を取得する URL |
jwks_uri | トークン検証用のパブリック キーを取得する URL |
トークン エンドポイントの応答要件
token_endpoint からの応答には、次の情報が含まれている必要があります。
| トークン名 | 必須 | 説明 |
|---|---|---|
access_token | はい | 保護されたリソースへのアクセスを許可するために使用されます |
id_token | はい | ユーザー ID 要求が含まれています |
id_tokenには、次の要求が含まれている必要があります。
| 要求 | 必須 | 説明 |
|---|---|---|
iss | はい | 発行者の識別子 |
sub | はい | サブジェクト（ユーザー ID） |
exp | はい | 有効期限の時刻 |
preferred_username | 可* | 優先ユーザー名 |
email | 可* | ユーザーの E メール |
name | 可* | ユーザーのフル ネーム |
*id_token に preferred_username、email、name のいずれかが存在しない場合は、userinfo_endpoint から入手する必要があります。
ユーザー情報エンドポイントの要件
使用する場合、userinfo_endpoint は次の要求を返す必要があります。
| 要求 | 必須 |
|---|---|
preferred_username | はい |
email | はい |
name | はい |
トークンのサンプル
{
"sub": "00ukuzchb1ZY7krC85d7",
"name": "firstname lastname",
"email": "test@domain.com",
"ver": 1,
"iss": "https://test.okta.com",
"aud": "client-id",
"iat": 1748414018,
"exp": 1748417618,
"jti": "ID.8hVUu3gS920KVfDWXmqgrlVoJ4BAmysH1r37DUI96qc",
"amr": [
"pwd"
],
"idp": "00okuy73u8S5TYsaz5d7",
"preferred_username": "test@domain.com",
"auth_time": 1748413974,
"at_hash": "iBpNiNV69JpmmrhV1xfn_g"
}
このページは役に立ちましたか?