概要
この文書は、Linked Web Storage (LWS) プロトコル向けの認証スイートを定義し、自身の
アイデンティティトークンに署名できるクライアントがLWSと統合できるようにします。
目次
概要 この文書のステータス 1. 序論2. 適合性3. 用語4. 認証
クレデンシャルのシリアライズ5. 認証
クレデンシャルの検証6. トークンタイプ
識別子7. セキュリティ
上の考慮事項8. プライバシー
上の考慮事項A. 参考文献
A.1
規範的参考文献A.2
参考情報としての参考文献
自己発行アイデンティティは、アプリケーションが自身の代理として動作する場合に重要です。
これには、自律ボットやサーバーサイドスクリプトなどが含まれます。
これらの場合、エージェント は、
署名付きJSON Web Token
(JWT)を生成するために使用する鍵ペアの秘密部分を安全に管理できます。
この仕様は、この種のエージェント が、did:key:
メソッドを用いたエージェント 識別子を使用しながら、Linked Web Storageで利用できる
認証クレデンシャル を生成する方法を説明します。
自己発行の認証クレデンシャル は、
署名付きJSON Web Token (JWT)としてシリアライズされます。JWTをLWSの認証クレデンシャル として使用するには、
次の追加要件が適用されます。
JWTは、署名アルゴリズムとして「none」を使用してはなりません（MUST NOT ）。
JWTは、LWSサブジェクト識別子にsub（subject）クレームを使用しなければなりません（MUST ）。
サブジェクト識別子はdid:key: URIを使用しなければなりません（MUST ）。
JWTは、LWS発行者識別子にiss（issuer）クレームを使用しなければなりません（MUST ）。
JWTは、LWSクライアント識別子にclient_id（client ID）クレームを使用しなければなりません（MUST ）。
クレームsub、iss、およびclient_idは、すべて同じURI値を
使用しなければなりません（MUST ）。
ID Tokenにおける任意のオーディエンス制限は、aud
（audience）クレームを使用しなければなりません（MUST ）。audクレームは、対象の
認可サーバーを含まなければなりません（MUST ）。
JWTは、トークンが失効する時刻を示すexp（expiration）クレームを
含まなければなりません（MUST ）。
JWTは、トークンが発行された時刻を示すiat（issued at）クレームを
含まなければなりません（MUST ）。
LWSの認証クレデンシャル でもあるJWTの例を
以下に示します。
{
"kty": "EC" ,
"alg" : "ES256" ,
"typ" : "JWT" ,
"crv" : "P-256"
}
.
{
"sub": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv" ,
"iss" : "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv" ,
"client_id" : "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv" ,
"aud" : ["https://as.example" ],
"iat" : 1761313600 ,
"exp" : 1761313900
}
.
signature
did:keyメソッドを使用するサブジェクト識別子について、検証者は
「The did:key Method」[did-key RFC7515 MUST ）。
検証者は、認証クレデンシャル
データモデルで記述されているすべてのクレームを検証しなければなりません（MUST ）。
検証者は、現在時刻がexpクレームで表される時刻より前であることを
確認しなければなりません（MUST ）。実装者は、クロックスキューを考慮するために、
わずかな猶予を設けてもよいです（MAY ）。
認証クレデンシャル として使用される
自己発行JSON Web Tokenは、認可サーバーとやり取りする際に
urn:ietf:params:oauth:token-type:jwt URIを使用しなければなりません（MUST ）。
↑