Microsoft ID プラットフォームと OAuth 2.0 リソース所有者のパスワード資格情報

[アーティクル]
04/08/2024

Microsoft ID プラットフォームでは、OAuth 2.0 リソース所有者のパスワード資格情報 (ROPC) 付与がサポートされています。これにより、アプリケーションでは、ユーザーのパスワードを直接処理することでユーザーをサインインさせることができます。この記事では、アプリケーションでプロトコルに対して直接プログラミングする方法について説明します。可能な場合は、トークンを取得してセキュリティで保護された Web API を呼び出す代わりに、サポートされている Microsoft 認証ライブラリ (MSAL) を使用することをお勧めします。また、MSAL を使用するサンプルアプリも参照してください。

警告

ROPC フローは "使用しない" ことをお勧めします。ほとんどのシナリオでは、より安全な代替手段を利用でき、推奨されます。このフローでは、アプリケーションで非常に高い信頼度が要求されるため、他のフローには存在しないリスクが伴います。このフローは、より安全なフローが実行可能ではない場合にのみ使用してください。

重要

Microsoft ID プラットフォームでは、Microsoft Entra テナント内での ROPC 許可をサポートしています。個人アカウントは対象外です。そのため、テナント固有のエンドポイント (https://login.microsoftonline.com/{TenantId_or_Name}) または organizations エンドポイントを使用する必要があります。
Microsoft Entra テナントに招待された個人アカウントでは、ROPC フローを使用できません。
パスワードがないアカウントは ROPC でサインインできません。つまり、SMS サインイン、FIDO、および Authenticator アプリなどの機能は、そのフローでは動作しません。アプリまたはユーザーにこれらの機能が必要な場合は、ROPC 以外の付与タイプを使用してください。
ユーザーが多要素認証 (MFA) を使用してアプリケーションにログインすると、ログインできずにブロックされます。
ROPC はハイブリッド ID フェデレーションシナリオ (たとえば、オンプレミスのアカウントの認証に使用される Microsoft Entra ID や ADFS) ではサポートされていません。ユーザーがオンプレミスの ID プロバイダーに全ページリダイレクトされる場合、Microsoft Entra ID ではその ID プロバイダーに対してユーザー名とパスワードをテストできません。ただし、ROPC ではパススルー認証がサポートされています。
ハイブリッド ID フェデレーションシナリオの例外は次のとおりです。AllowCloudPasswordValidation が TRUE に設定されたホーム領域の検出ポリシーを使用すると、オンプレミスパスワードがクラウドに同期されるときに、ROPC フローがフェデレーションユーザーに対して機能します。詳細については、レガシアプリケーションに対するフェデレーションユーザーの直接 ROPC 認証を有効にする方法に関する記事を参照してください。
先頭または末尾の空白を含むパスワードは、ROPC フローではサポートされていません。

プロトコルの図

次は ROPC フローの図です。

Diagram showing the resource owner password credential flow

承認要求

ROPC フローは 1 件の要求です。クライアント ID とユーザーの資格情報を ID プロバイダーに送信し、返されたトークンを受信します。クライアントでは、これを行う前に、ユーザーの電子メールアドレス (UPN) とパスワードを要求する必要があります。クライアントでは、要求が成功した直後にユーザーの資格情報を安全な方法でメモリから破棄する必要があります。保存してはなりません。

// Line breaks and spaces are for legibility only.  This is a public client, so no secret is required.

POST {tenant}/oauth2/v2.0/token
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&scope=user.read%20openid%20profile%20offline_access
&username=MyUsername@myTenant.com
&password=SuperS3cret
&grant_type=password

パラメーター	Condition	説明
`tenant`	必須	ユーザーをログインさせるディレクトリテナント。テナントは GUID またはフレンドリ名の形式で指定できます。ただし、このパラメーターは `common` と `consumers` に設定できませんが、`organizations` には設定できます。
`client_id`	必須	アプリに割り当てられている [Microsoft Entra管理センター - アプリの登録] ページのアプリケーション (クライアント) ID。
`grant_type`	必須	`password` に設定する必要があります。
`username`	必須	ユーザーの電子メールアドレス。
`password`	必須	ユーザーのパスワード。
`scope`	推奨	アプリで必要となるスコープ (アクセス許可) をスペースで区切った一覧。対話型のフローでは、管理者またはユーザーが事前にこれらのスコープに同意する必要があります。
`client_secret`	必要な場合あり	アプリがパブリッククライアントである場合、`client_secret` または `client_assertion` を含めることはできません。アプリが機密クライアントである場合は、それを含める必要があります。
`client_assertion`	必要な場合あり	証明書を使用して生成された、`client_secret` の別の形式。詳細については、証明書資格情報に関する記事を参照してください。

正常な認証応答

トークンの応答の成功例を次に示します。

{
    "token_type": "Bearer",
    "scope": "User.Read profile openid email",
    "expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...",
    "refresh_token": "AwABAAAAvPM1KaPlrEqdFSBzjqfTGAMxZGUTdM0t4B4...",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiIyZDRkMTFhMi1mODE0LTQ2YTctOD..."
}

パラメーター	Format	説明
`token_type`	String	常に `Bearer` に設定します。
`scope`	スペース区切りの文字列	アクセストークンが返された場合、このパラメーターによって、アクセストークンが有効なスコープの一覧が生成されます。
`expires_in`	INT	含まれているアクセストークンが有効となる秒数。
`access_token`	不透明な文字列	要求されたスコープに対して発行されます。
`id_token`	JWT	元の `scope` パラメーターに `openid` スコープが含まれている場合に発行されます。
`refresh_token`	不透明な文字列	元の `scope` パラメーターに `offline_access` が含まれている場合に発行されます。

OAuth コードフローのドキュメントで説明されているのと同じフローに従い、更新トークンを使用して新しいアクセストークンと更新トークンを取得できます。

警告

この例のトークンを含めて、自分が所有していないすべての API について、トークンの検証や読み取りを行わないでください。 Microsoft サービスのトークンには、JWT として検証されない特殊な形式を使用できます。また、コンシューマー (Microsoft アカウント) ユーザーに対して暗号化される場合もあります。トークンの読み取りは便利なデバッグおよび学習ツールですが、コード内でこれに対する依存関係を取得したり、自分で制御する API 用ではないトークンについての詳細を想定したりしないでください。

エラー応答

ユーザーが正しいユーザー名やパスワードを指定していない場合、あるいは要求した同意がクライアントに届いていない場合、認証は失敗します。

エラー	説明	クライアント側の処理
`invalid_grant`	認証に失敗しました	資格情報が正しくないか、要求したスコープに対してクライアントに同意がありません。スコープが付与されていない場合、`consent_required` エラーが返されます。このエラーを解決するには、クライアントで、Web ビューまたはブラウザーを利用し、対話式プロンプトにユーザーを送信する必要があります。
`invalid_request`	要求が正しく構築されていません	この付与タイプは `/common` または `/consumers` 認証ではサポートされていません。代わりに `/organizations` またはテナント ID を使用してください。

詳細情報

ROPC フローの実装例については、GitHub で .NET コンソールアプリケーションのコードサンプルをご覧ください。

次の方法で共有