Multi-AuthSystem のバックアップ(No.15)

Tokenエンドポイントに対して以下のRequestを出すと、Bearer Tokenが返ってくる。
- POST
- Authorization: Basic ZZZZZZZZZZ ---> 「クライアントID:クライアント・パスワード」をBase64エンコードしたもの。
- body : grant_type=password, username=ユーザID, password=ユーザ・パスワード, scope=auth

Bearer Tokenをヘッダに指定して認証専用のWebAPIにアクセスすると認証情報を取得できる。
- POST
- Authorization: Bearer XXXXXXXXXX
- body : client_id=クライアントID, client_secret=クライアント・パスワード

↑

cURLコマンド †

Debug ProxyにFiddler等を使用すると尚良（其の際は、 --proxy オプションを指定する必要がある）。

Bearer Tokenの取得

Request (cURLコマンド)

>curl "http://localhost:nnnnn/OAuthBearerToken"-u "クライアントID:クライアント・パスワード" -d "grant_type=password" -d "username=ユーザID" -d "password=ユーザ・パスワード" -d "scope=auth"

Response (Body)

{"access_token":"XXXXXXXXXX","token_type":"bearer","expires_in":nnnnn,"refresh_token":"YYYYYYYYYY"}

Bearer Tokenを使用したOAuthリソースへのアクセス

Request (cURLコマンド)

>curl "http://localhost:nnnnn/api/OAuthResourceApi/GetAuthenticatedUsersClaim" -H "Authorization: Bearer XXXXXXXXXX" -d "client_id=クライアントID" -d "client_secret=クライアント・パスワード"

Response (Body)

{"userName":"XXXXX","email":"XXXXX","phoneNumber":"XXXXX"}

↑

Client Credentialsグラント種別 †

cURLコマンドする。

認証の拡張仕様の部分は、朱書きにしてある。
通常のリソース用WebAPIへのアクセス時はこのパラメタの指定は不要。

↑

処理の概要 †

Tokenエンドポイントに対して以下のRequestを出すと、Bearer Tokenが返ってくる。
- POST Authorization: Basic ZZZZZZZZZZ ---> 「クライアントID:クライアント・パスワード」をBase64エンコードしたもの。
- body:grant_type=client_credentials, scope=auth

Bearer Tokenをヘッダに指定して認証専用のWebAPIにアクセスすると認証情報を取得できる。
- POST
- Authorization: Bearer XXXXXXXXXX
- body : client_id=クライアントID, client_secret=クライアント・パスワード

↑

cURLコマンド †

Debug ProxyにFiddler等を使用すると尚良（其の際は、 --proxy オプションを指定する必要がある）。

Bearer Tokenの取得

Request (cURLコマンド)

>curl "http://localhost:nnnnn/OAuthBearerToken" -u "クライアントID:クライアント・パスワード" -d "grant_type=client_credentials" -d "scope=auth"

Response (Body)

{"access_token":"XXXXXXXXXX","token_type":"bearer","expires_in":nnnnn,"refresh_token":"YYYYYYYYYY"}

Bearer Tokenを使用したOAuthリソースへのアクセス

Request (cURLコマンド)

>curl "http://localhost:63359/api/OAuthResourceApi/GetAuthenticatedUsersClaim" -H "Authorization: Bearer XXXXXXXXXX" -d "client_id=クライアントID" -d "client_secret=クライアント・パスワード"

Response (Body)

{"userName":"XXXXX","email":"XXXXX","phoneNumber":"XXXXX"}

↑

メモ †

↑

SecurityStamp †

詳しくはコチラを参照。

↑

外部ログイン †

詳しくはコチラを参照。

↑

ExternalLoginCallback?の条件分岐 †

外部ログインの成否
- 失敗（異常終了）
- 成功、（２）へ。
外部ログインの有・無
- 外部ログインがある→そのままサインイン（正常終了）
- 外部ログインがない→外部ログインの作成、（３）へ。
外部ログインの作成
- 当該ユーザが既にサインアップされている。
  → 外部ログインを追加してサインイン（正常終了）
- 当該ユーザが未だサインアップされていない。
  → サインアップ後に外部ログインを追加してサインイン（正常終了）

＃外部ログイン追加、サインアップ、サインインの成否は省略。

↑

外部ログイン削除のテストケース †

サインアップ→サインアップ済みの状態から外部ログイン
1. 内部ログイン→内部ログアウト
2. 外部ログイン追加（外部ログイン）→外部ログアウト
3. 外部ログイン→外部ログイン削除→★→外部ログアウト
4. 外部ログイン追加（外部ログイン）→外部ログアウト
5. 外部ログイン→外部ログイン削除→★→外部ログアウト
6. 内部ログイン→内部ログアウト（外部ログイン削除後も、内部ログインは可能）

サインアップせずに、外部ログイン
1. 外部ログイン追加（外部ログイン）→外部ログアウト
2. 外部ログイン→☆外部ログイン削除→外部ログアウト
3. 外部ログイン追加（外部ログイン）→外部ログアウト

外部ログイン削除のポイント

★の外部ログイン削除後のタイミングで、ログアウトしていないのは、
代替のログイン手段を持っているため問題無いという認識。

☆サインアップしていない場合に、外部ログインの削除ができなかった。
（削除によりログイン手段を持たない状態になるのに、ログインしている状態になってしまうため）
試しに外部ログイン✕２の状態でテストした所、外部ログインの削除が可能であることを確認できた。

↑

セキュアトークンサービス（STS） †

クレームベース認証による認証・認可の仕組みを使用する。

詳しくは以下を参照のこと。

↑

他サイトとの連携機能 †

↑

.NET †

ASP.NET Identityを使用して連携できる（データストアは共有する）。

↑

その他 †

前述の「セキュアトークンサービス（STS）」を使用して連携する。

Multi-AuthSystem のバックアップ(No.15)

目次 †

概要 †

機能 †

基本機能 †

サインアップ †

サインイン †

サインアウト †

アカウント編集 †

サインアップの機能強化 †

ユーザ名の重複不可設定 †

パスワード検証 †

2要素認証 †

アカウント確認（E-mail confirmation） †

サインインの機能強化 †

SecurityStamp †

外部ログイン †

セキュアトークンサービス（STS） †

運用の機能強化 †

アカウント・ロックアウト †

パスワード・リセット †

管理機能 †

独自仕様部分の説明? †

Idp仕様? †

外部認証仕様（≒ OAuth 2.0 Client仕様）? †

OAuth2.0 Server仕様? †

関連する機能 †

オンライン決済サービス? †

メール送信? †

SMS送信? †

動作検証 †

Authorization Codeグラント種別 †

Implicitグラント種別 †

Resource Owner Password Credentialsグラント種別 †

処理の概要 †

cURLコマンド †

Client Credentialsグラント種別 †

処理の概要 †

cURLコマンド †

メモ †

SecurityStamp †

外部ログイン †

ExternalLoginCallback?の条件分岐 †

外部ログイン削除のテストケース †

セキュアトークンサービス（STS） †

他サイトとの連携機能 †

.NET †

その他 †