Omnissa Access への OpenID Connect アプリケーションの追加

OpenID Connect (OIDC) 認証プロトコルを使用するアプリケーションを Omnissa Access カタログに追加し、カタログ内の他のアプリケーションのように管理することができます。各アプリケーションにアクセス ポリシーを適用し、ネットワーク範囲やデバイス タイプなどの基準に基づいてユーザーを認証する方法を指定することができます。アプリケーションを追加した後、ユーザーおよびグループに割り当てます。

OpenID Connect アプリケーションを追加するには、アプリケーションのターゲット URL、リダイレクト URL、クライアント ID、クライアント タイプ、およびクライアント シークレット（オプション、クライアント タイプに基づく）を指定します。

OpenID Connect アプリケーションをカタログに追加すると、そのアプリケーションの OAuth 2.0 クライアントが自動的に Omnissa Access 内で作成されます。クライアントは、ターゲット URL、リダイレクト URL、クライアント ID、クライアント タイプ、およびクライアント シークレット（オプション、クライアント タイプに基づく）など、アプリケーションの追加中に指定する構成情報を使用して作成されます。

クライアント タイプによって、OAuth 2.0 クライアントがパブリック クライアントか機密クライアントかが決まります。クライアントのタイプの詳細については、「Omnissa Access への OAuth 2.0 ユーザー アクセス クライアントの追加」を参照してください。認証コード フローのセキュリティを向上させる OAuth 2.0 プロトコルの拡張機能である Proof Key for Code Exchange (PKCE) は、パブリック クライアントに対しては常に適用され、機密クライアントではオプションです。Omnissa Access は、PKCE の S256 コード チャレンジ方式のみをサポートします。

その他のすべてのパラメータはデフォルト値を使用します。具体的には、次のようになります。

• 許可タイプ：authorization_code、refresh_token

• 範囲：admin、openid、user

• ユーザー許可の表示：false

• アクセス トークンの有効時間 (TTL)：3 時間

• リフレッシュ トークンの有効時間 (TTL)：有効。90 日に設定

• リフレッシュ トークンのアイドル有効時間 (TTL)：4 日

アプリケーションの OAuth 2.0 クライアントは、[設定] > [OAuth 2.0 管理] ページで確認できます。[クライアント] タブで、クライアント ID を見つけてクリックし、構成情報を表示します。

注意：アプリケーションに関連付けられた OAuth 2.0 クライアントを削除しないでください。削除すると、ユーザーがアプリケーションを使用できなくなります。

カタログからアプリケーションを削除すると、OAuth 2.0 クライアントも削除されます。

アプリケーションが Omnissa からアクセスされるときの認証フロー

ユーザーが Omnissa でアプリケーションをクリックすると、認証フローは次のようになります。

1. ユーザーが Omnissa でアプリケーションをクリックします。
2. Omnissa Access は、ユーザーをターゲット URL にリダイレクトします。
3. アプリケーションが、認証要求を使用して Omnissa Access にユーザーをリダイレクトします。
4. Omnissa Access は、アプリケーションに対して指定した認証ポリシーに基づいてユーザーを認証します。
5. Omnissa Access は、ユーザーにアプリケーションの使用資格があるかどうかを確認します。
6. Omnissa Access は、認証コードをリダイレクト URL に送信します。
7. 認証コードを使用して、アプリケーションが、アクセス トークンを要求します。
8. Omnissa Access は、ID トークン、アクセス トークン、およびリフレッシュ トークンをアプリケーションに送信します。

アプリケーションがサービス プロバイダから直接アクセスされるときの認証フロー

ユーザーがサービス プロバイダから直接アプリケーションにアクセスする場合、認証フローは次のようになります。

1. ユーザーがアプリケーションをクリックします。
2. ユーザーは Omnissa Access へリダイレクトされて認証されます。
3. Omnissa Access は、アプリケーションに対して指定した認証ポリシーに基づいてユーザーを認証します。
4. Omnissa Access は、ユーザーにアプリケーションの使用資格があるかどうかを確認します。
5. Omnissa Access は、ID トークンをサービス プロバイダに送信します。

OIDC アプリケーションで使用可能なエンドポイント

OIDC アプリケーションで使用可能なエンドポイントについては、『 Omnissa Access API リファレンス』の「OIDC」セクションを参照してください。使用可能な OIDC および OAuth 2.0 エンドポイントを記述するメタデータを公開する既知の URI /acs/.well-known/openid-configuration から OpenID プロバイダ構成を取得することもできます。