Webアプリのステップアップ認証を設定する

​

MFA 向けに ID トークンを検証する

1. ID トークンを取得する。
2. トークンの署名を検証します。これにより、トークンの送信者が名乗っている本人であることを確認し、メッセージが途中で改ざんされていないことを確かめられます。
3. 次のクレームを検証します。

​

AMRクレームの例外

1. ホスト型ログインフローでは、ユーザーが MFA チャレンジを正常に完了した場合にのみ、amr クレームが IDトークンに追加されます。アプリが新たに発行された IDトークンに対してサイレント認証またはリフレッシュトークンを使用する場合、ユーザーは以前に MFA を使ってログインを完了しているため、amr クレームは含まれません。
2. MFA API で発行されたトークンには amr クレームは含まれません。amr クレームは、ユーザーが IDトークンを受け取る際に使用された認証方式を示します。MFA API の認証プロセスでは、アプリケーションが認証フローを制御し、必要に応じて MFA を要求できます。

​

例: MFAありの場合の値

​

例: MFAなしの値

​

シナリオ: プッシュ通知による給与データへのアクセス

​

前提条件

• Web アプリを登録する。
• データベース接続を作成する。
• プッシュ通知を使用するには、MFA を有効にする。

​

Action を作成する

exports.onExecutePostLogin = async (event, api) => {
 const CLIENTS_WITH_MFA = ['REPLACE_WITH_{yourClientId}'];
 // 指定されたクライアントのみ実行する
 if (CLIENTS_WITH_MFA.includes(event.client.client_id)) {
 // ウェブアプリが認証リクエストでMFAを要求した場合のみMFAを求める
 if (event.transaction?.acr_values.includes('http://schemas.openid.net/pape/policies/2007/06/multi-factor')) {
 api.multifactor.enable('any', { allowRememberBrowser: true });
 }
 }
}

• CLIENTS_WITH_MFA 変数には、この Action を適用するアプリケーションのclient IDsが含まれます。不要であれば、これ (および後続の if 条件) を削除できます。
• event.transaction.acr_values プロパティは、認証コンテキストクラス参照 (acr) を含む文字列の配列です。これは省略可能なプロパティで、アプリケーションが Authorization Server への認証リクエストにこれを含めた場合にのみ存在します。この例では、Web アプリは、まだ MFA で認証していないユーザーが給与情報にアクセスしようとした場合にのみ、これを認証リクエストに含めます。Web アプリがこれを含める場合、http://schemas.openid.net/pape/policies/2007/06/multi-factor という値を設定します。これは、Authorization Server に MFA を要求させたいことを示します。また、コードで設定した api.multifactor プロパティの値により、テナントで設定されている利用可能ないずれかの方法を使って、ユーザーに MFA チャレンジを求めます。api.multifactor.enable() メソッドの詳細については、Action Triggers: post-login API object を参照してください。
• http://schemas.openid.net/pape/policies/2007/06/multi-factor ポリシーは、エンドユーザーが複数の認証要素、つまり MFA を提示して OpenID Provider に認証する認証メカニズムを定義します。詳しくは、OpenID Provider Authentication Policy Extension 1.0 を参照してください。

​

アプリを設定する

​

ID トークンを検証する

​

詳しくはこちら

• ID トークン
• Rule のユースケース
• JSON Web Token
• API のステップアップ認証を設定する