LWS 1.0 認証スイート：did:keyを使用した自己署名アイデンティティ

自己発行アイデンティティは、アプリケーションが自身の代理として動作する場合に重要です。 これには、自律ボットやサーバーサイドスクリプトなどが含まれます。 これらの場合、エージェントは、 署名付きJSON Web Token (JWT)を生成するために使用する鍵ペアの秘密部分を安全に管理できます。 この仕様は、この種のエージェントが、did:key: メソッドを用いたエージェント識別子を使用しながら、Linked Web Storageで利用できる 認証クレデンシャルを生成する方法を説明します。

非規範的と明示されたセクションに加え、この仕様内のすべての作成ガイドライン、図、例、および注記は 非規範的です。この仕様のその他すべては規範的です。

この文書におけるキーワードMAY、MUST、およびMUST NOTは、 ここに示すようにすべて大文字で出現する場合に限り、 BCP 14 [RFC2119] [RFC8174] に記述されているとおりに解釈されます。

用語「authorization server」および「client」は、The OAuth 2.0 Authorization Framework [RFC6749]で定義されています。

用語「JSON Web Token (JWT)」および「claim」は、JSON Web Token [RFC7519]で定義されています。

用語「agent」、「authentication credential」、および「authentication suite」は、Linked Web Storage Protocol [LWS10-CORE]で定義されています。

自己発行の認証クレデンシャルは、 署名付きJSON Web Token (JWT)としてシリアライズされます。JWTをLWSの認証クレデンシャルとして使用するには、 次の追加要件が適用されます。

• JWTは、署名アルゴリズムとして「none」を使用してはなりません（MUST NOT）。
• JWTは、LWSサブジェクト識別子にsub（subject）クレームを使用しなければなりません（MUST）。 サブジェクト識別子はdid:key: URIを使用しなければなりません（MUST）。
• JWTは、LWS発行者識別子にiss（issuer）クレームを使用しなければなりません（MUST）。
• JWTは、LWSクライアント識別子にclient_id（client ID）クレームを使用しなければなりません（MUST）。
• クレームsub、iss、およびclient_idは、すべて同じURI値を 使用しなければなりません（MUST）。
• ID Tokenにおける任意のオーディエンス制限は、aud （audience）クレームを使用しなければなりません（MUST）。audクレームは、対象の 認可サーバーを含まなければなりません（MUST）。
• JWTは、トークンが失効する時刻を示すexp（expiration）クレームを 含まなければなりません（MUST）。
• JWTは、トークンが発行された時刻を示すiat（issued at）クレームを 含まなければなりません（MUST）。

LWSの認証クレデンシャルでもあるJWTの例を 以下に示します。

{
  "kty": "EC",
  "alg": "ES256",
  "typ": "JWT",
  "crv": "P-256"
}
.
{
  "sub": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "iss": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "client_id": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "aud": ["https://as.example"],
  "iat": 1761313600,
  "exp": 1761313900
}
.
signature

did:keyメソッドを使用するサブジェクト識別子について、検証者は 「The did:key Method」[did-key]の セクション3.1.3で説明されているように、識別子自体から公開鍵を抽出します。 この公開鍵を使用して、JWTの署名は [RFC7515]のセクション5.2に記述されているとおりに 検証されなければなりません（MUST）。

検証者は、認証クレデンシャル データモデルで記述されているすべてのクレームを検証しなければなりません（MUST）。

検証者は、現在時刻がexpクレームで表される時刻より前であることを 確認しなければなりません（MUST）。実装者は、クロックスキューを考慮するために、 わずかな猶予を設けてもよいです（MAY）。

認証クレデンシャルとして使用される 自己発行JSON Web Tokenは、認可サーバーとやり取りする際に urn:ietf:params:oauth:token-type:jwt URIを使用しなければなりません（MUST）。