概念 | 説明 |
OIDC | OIDC（OpenID Connect）はOAuth 2.0に基づく認証プロトコルです。OAuthは権限付与プロトコルであり、一方でOIDCはOAuthプロトコル上にアイデンティティ層を構築します。OAuthが提供する権限付与機能に加えて、また、クライアントがエンドユーザーの身元を検証できるようにし、およびOIDCプロトコルのAPI（HTTP RESTful形式）を通じてユーザーの基本情報を取得できます。 |
OIDCトークン（OIDC Token） | OIDCはアプリケーションに対してログインユーザーを代表するアイデンティティトークン、すなわちOIDCトークン（OIDC Token）を発行できます。 OIDCトークンはログインユーザーの基本情報を取得するために使用されます。 |
一時認証情報 | STS（Security Token Service）は、Tencent Cloudが提供する一時的なアクセス権限管理サービスであり、STSを通じてカスタマイズ可能な有効期間とアクセス権限を持つ一時認証情報（STS Token）を取得できます。 |
発行者のURL | 発行者URLは外部のIdPが提供し、OIDCトークンのissフィールド値に対応します。 発行者のURLはhttpsで始まる必要があり、標準URLフォーマットに準拠する必要がありますが、クエリパラメータ（?で識別）、フラグメント（#で識別）、およびログイン情報（@で識別）を含めることはできません。 |
フィンガープリント検証 | 発行者URLが悪意のあるハイジャックや改ざんを受けるのを防ぐため、外部IdPのHTTPS CA証明書から生成される検証用フィンガープリントを設定する必要があります。Tencent Cloudは自動的にこの検証用フィンガープリントを計算するお手伝いをしますが、ローカル環境で自身でも一度計算する（例：OpenSSLを使用したフィンガープリント計算）ことをお勧めします。Tencent Cloudが計算したフィンガープリントと比較し、異なる場合は発行者URLが攻撃を受けている可能性があるため、必ず再度確認の上、正しいフィンガープリントを入力してください。 |
クライアントID（Client ID） | ご利用のアプリケーションを外部IdPに登録する際、クライアントID（Client ID）が生成されます。 外部IdPにOIDCトークンの発行を申請する際は、このクライアントIDを使用する必要があります。発行されたOIDCトークンはaudフィールドを通じてこのクライアントIDを保持します。 OIDC身分プロバイダを作成する際にこのクライアントIDを設定します。その後、OIDCトークンを使用してSTSトークンと交換する際、Tencent CloudはOIDCトークンのaudフィールドに含まれるクライアントIDとOIDC身分プロバイダに設定されたクライアントIDが一致するかどうかを確認します。一致する場合にのみ、ロール引き受けが許可されます。 |
フィードバック