Token Vault を使用したアクセストークン交換

• クライアント: 自身の資格情報を使用して、Auth0 Authorization Server とのアクセストークン交換を安全に実行します。Auth0 では、バックエンド API と同じ識別子を持つカスタム API クライアントを作成します。バックエンド API は、カスタム API クライアントの資格情報を渡して、Auth0 Authorization Server とのアクセストークン交換を安全に実行します。
• リソースサーバー: SPA にバックエンド API を提供し、Auth0 アクセストークンを検証します。

​

利用例

• バックエンド API: ユーザーが SPA を操作し、その後、バックエンド API が Auth0 Authorization Server に対して、Auth0 アクセストークンを外部プロバイダーのアクセストークンに交換するためのリクエストを送信します。
• マイクロサービス アーキテクチャ: 外部 API にアクセスするためにアクセストークンの交換が必要な、MCP サーバーやその他の OAuth 2.0 リソースサーバーなどのバックエンドサービス。

​

仕組み

​

前提条件

​

ステップ 1: 接続してアクセスを認可する

​

ステップ 2: SPA が Auth0 アクセストークンを使用してバックエンド API を呼び出す

• 署名: Auth0 の公開キーを使用してトークンの署名を検証します。これにより、そのアクセストークンが Auth0 によって発行されたことを確認できます。
• 発行者: トークンのペイロード内の iss クレームを確認し、そのトークンがあなたの Auth0 テナントによって発行されたことを確かめます。
• Audience: aud クレームを確認し、それがバックエンド API 自体の一意の識別子と一致することを確かめます。これにより、そのトークンがこのリソースサーバー向けに発行されたものであることを確認できます。
• 有効期限: exp クレームを検証し、そのトークンがまだ有効であり、期限切れになっていないことを確認します。
• スコープ: scope クレームを確認し、ユーザーにどの permissions が付与されているかを判断します。

​

ステップ 3: バックエンド API がアクセストークン交換を実行する

• 自身を認証するために、バックエンド API (カスタム API クライアント) のクライアント資格情報を Auth0 Authorization Server に渡します。
• Auth0 アクセストークンを Google アクセストークンと交換します。

curl --request POST 'https://{yourDomain}/oauth/token' \
  --header 'Content-Type: application/json' \
  --data '{
    "client_id": "<YOUR_CUSTOM_API_CLIENT_ID>",
    "client_secret": "<YOUR_CUSTOM_API_CLIENT_SECRET>",
    "subject_token": "<YOUR_AUTH0_ACCESS_TOKEN>",
    "grant_type": "urn:auth0:params:oauth:grant-type:token-exchange:federated-connection-access-token",
    "subject_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "requested_token_type": "http://auth0.com/oauth/token-type/federated-connection-access-token",
    "connection": "google-oauth2"
  }'

​

ステップ 4: Auth0 Authorization Server がアクセストークンを検証する

• Auth0 は、トークン交換リクエストを行うクライアントが、アクセストークンの audience で識別されるバックエンド API にリンクされていることを確認します。
• Auth0 は、ユーザープロファイルの connected_accounts array に、認可リクエストで渡された接続名を持つユーザーアカウントが含まれているかどうかを確認します。
• 認可リクエストに login_hint が含まれている場合、Auth0 は接続名と login_hint の両方に一致する ID を探します。
• Auth0 がユーザーを見つけられない場合、エラーメッセージとともに 401 ステータスコードを返します。

{
  "access_token": "<YOUR_GOOGLE_ACCESS_TOKEN>",
  "scope": "https://www.googleapis.com/auth/calendar https://www.googleapis.com/auth/calendar.addons.execute https://www.googleapis.com/auth/calendar.events https://www.googleapis.com/auth/calendar.events.readonly https://www.googleapis.com/auth/calendar.settings.readonly https://www.googleapis.com/auth/userinfo.email https://www.googleapis.com/auth/userinfo.profile openid",
  "expires_in": 1377,
  "issued_token_type": "http://auth0.com/oauth/token-type/federated-connection-access-token",
  "token_type": "Bearer"
}