LWS 1.0 認証スイート：OpenID Connect

OpenID Connect は、Web ベースの認証に広く使用されている仕組みです。この認証スイートは、 OpenID プロバイダーを Linked Web Storage 準拠アプリケーションでどのように使用できるかを説明します。

非規範的と明記されたセクションに加えて、この仕様に含まれるすべての作成ガイドライン、図、例、および注記は 非規範的です。この仕様に含まれるそれ以外のすべては規範的です。

この文書におけるキーワード MUST、MUST NOT、および SHOULD は、 ここに示すようにすべて大文字で出現する場合に限り、 BCP 14 [RFC2119] [RFC8174] に記述されているとおりに解釈されます。

「authorization server」および「client」という用語は、The OAuth 2.0 Authorization Framework [RFC6749] によって定義されます。

「OpenID provider」、「id token」、「end-user」、および「issuer」という用語は、OpenID Connect Core 1.0 [OPENID-CONNECT-CORE] によって定義されます。

「openid connect discovery」という用語は、OpenID Connect Discovery 1.0 [OPENID-CONNECT-DISCOVERY] によって定義されます。

「controlled identifier document」という用語は、W3C Controlled Identifiers 1.0 [CID-1.0] によって定義されます。

「JSON Web Token (JWT)」および「claim」という用語は、JSON Web Token [RFC7519] によって定義されます。

「JSON Web Key (JWK)」という用語は、JSON Web Key [RFC7517] によって定義されます。

「agent」、「authentication credential」、および「authentication suite」という用語は、Linked Web Storage Protocol [LWS10-CORE] によって定義されます。

OpenID Connect は、エンドユーザーを記述するために使用される署名付き ID Token を生成するプロトコルを定義します。 ID Token は、署名付き JSON Web Token (JWT) としてシリアル化されます。ID Token を LWS の authentication credential として使用するには、次の追加要件が適用されます。

• ID Token は、署名アルゴリズムとして「none」を使用してはなりません。
• ID Token は、LWS サブジェクト識別子に sub (subject) クレームを使用しなければなりません。
• ID Token は、LWS 発行者識別子に iss (issuer) クレームを使用しなければなりません。
• ID Token は、LWS クライアント識別子に azp (authorized party) クレームを使用しなければなりません。
• ID Token 内の任意のオーディエンス制限は、aud (audience) クレームを使用しなければなりません。 aud クレームには、クライアント識別子と、認可サーバーなどの 追加の対象オーディエンスを含めるべきです。

LWS の authentication credential でもある ID Token の例を以下に示します。

{
  "typ": "JWT",
  "kid": "12dbe73a",
  "kty": "EC",
  "alg": "ES256",
  "crv": "P-256"
}
.
{
  "sub": "https://id.example/end-user",
  "iss": "https://openid.example",
  "azp": "https://client.example/17da1b",
  "aud": ["https://client.example/17da1b", "https://as.example"],
  "iat": 1761313600,
  "exp": 1761313900
}
.
signature

ID Token が LWS の authentication credential として検証されるためには、検証者と発行者の間に信頼関係が存在しなければなりません。

既存の信頼関係がない場合、検証者は authentication credential 内の sub (subject) クレームを逆参照しなければなりません。 その結果得られるリソースは、サブジェクト識別子と等しい id 値を持つ、 有効な controlled identifier document [CID-1.0] として整形されていなければ なりません。

検証者は、サブジェクトの controlled identifier document を使用して、 serviceEndpoint 値が authentication credential の iss クレームの値に等しく、かつ type 値が https://www.w3.org/ns/lws#OpenIdProvider に等しい service オブジェクトを見つけなければ なりません。 検証者は、authentication credential に署名するために使用された JSON Web Key (JWK) の公開部分を特定するため、 OpenID Connect Discovery を実行しなければなりません。 JWT は、OpenID Connect Core Section 3.1.3.7 [OPENID-CONNECT-CORE] に記述されているとおりに検証されなければなりません。

OpenID Connect を使用する agent の Controlled Identifier Document の例を以下に示します。

{
    "@context": [
        "https://www.w3.org/ns/cid/v1"
    ],
    "id": "https://id.example/end-user",
    "service": [{
        "type": "https://www.w3.org/ns/lws#OpenIdProvider",
        "serviceEndpoint": "https://openid.example"
    }]
}

authentication credential として使用される ID Token は、 認可サーバーとやり取りする際に、urn:ietf:params:oauth:token-type:id_token URI を使用しなければ なりません。