標準仕様への準拠
認証を有効にしたすべてのMezusphere環境は、標準準拠のOpenID Connectプロバイダーです。このページでは、セキュリティアーキテクトが打ち合わせなしで評価できるよう、プラットフォームが実装している内容を正確に列挙します。
認可とトークン
| 機能 | 詳細 |
|---|---|
| 認可フロー | OAuth 2.1認可コードフロー。S256チャレンジメソッドによるPKCEを、パブリック・コンフィデンシャルを問わずすべてのクライアントに必須化 |
| OpenID Connectプロバイダー | 環境ごとの/.well-known/openid-configurationディスカバリードキュメントと、環境ごとのJWKSエンドポイント |
| IDトークン | 環境ごとの鍵によるES256署名 |
| 発行者識別 | すべての認可レスポンスにRFC 9207のissパラメータを付与 |
| リフレッシュトークン | 使用のたびにローテーション。消費済みリフレッシュトークンの再利用を検知すると、トークンチェーン全体を失効 |
| セッションとAPIの有効期間 | ブラウザセッションとAPIトークンの有効期間を環境ごとに独立して設定可能 |
| サインアウト | OIDC RP-Initiated Logout 1.0：id_token_hint検証付きのend_session_endpoint、クライアントごとのpost_logout_redirect_uri許可リスト、セッションクッキーの消去、リフレッシュチェーンの失効 |
クライアント管理
| 機能 | 詳細 |
|---|---|
| クライアントレジストリ | 各環境が自身のOAuthクライアント（パブリック・コンフィデンシャル）をConsoleから管理 |
| クライアントメタデータ | RFC 7591のメタデータモデルに準拠。管理はConsole経由で、公開の動的登録エンドポイントはありません |
| ネイティブアプリ | RFC 8252のコールバック：プライベートURIスキームと、ループバックリダイレクト（127.0.0.1と[::1]、ポートはワイルドカード） |
| リダイレクトURI | クライアントごとの完全一致検証 |
| クライアントごとの適用 | 許可されたスコープ、グラントタイプ、レスポンスタイプをクライアント単位で強制 |
| コンフィデンシャルクライアントのシークレット | bcryptハッシュで保存。平文は作成時とローテーション時に一度だけ表示 |
ホスト型エンドポイント
各環境は、自身のエンドポイントホスト名でホスト型の認証サーフェスを提供します。サインイン、サインアップ、サインアウト、認可、トークン、サイレントリフレッシュ、パスワードリセット、メールアドレス確認、エンドセッション、そしてディスカバリーとJWKSのドキュメント。これらのページを作る必要も、エンドポイントをホストする必要もありません。
まだ実装していないもの
- 外部アイデンティティプロバイダーとのフェデレーション（ソーシャルサインイン）は計画中です。現時点では、すべてのアイデンティティは環境ごとのユーザーディレクトリに存在します。
- Financial-grade API（FAPI）プロファイルはコアプラットフォームには含まれません。想定している提供経路はプラグインです。
- Consoleオペレーター向けのエンタープライズSSO（OIDC／SAMLフェデレーション）はロードマップ上にあります。
必要な仕様がこのページに見当たらない場合は、hello@mezusphere.comまでお問い合わせください。正確な回答をお返しします。