ACS でサポートされるトークン形式

[アーティクル]
11/09/2015

更新日: 2015 年 6 月 19 日

適用先:Azure

Web アプリケーションとサービスがMicrosoft Azure Active Directory Access Control (Access Control サービスまたは ACS とも呼ばれます) による認証を処理する場合、クライアントは ACS によって発行されたセキュリティトークンを取得して、アプリケーションまたはサービスにログインする必要があります。 ACS は、次の形式でセキュリティトークンを発行できます。

Security Assertion Markup Language (SAML) 1.1 および 2.0
Simple Web Token (SWT)
JSON Web Token (JWT)

注意

ACS は、次のいずれかの形式でセキュリティトークンを発行できます。 ACS が Web アプリケーションまたはサービスに使用するトークン形式は、証明書利用者アプリケーションの構成によって決まります。証明書利用者アプリケーションの構成については、「証明書利用者アプリケーション」を参照してください。

Security Assertion Markup Language (SAML) 1.1 および 2.0

Security Assertion Markup Language (SAML) は、シングルサインオン (SSO) と要求ベース ID で今日使用されている最も古く、最も一般的なトークン形式です。 SAML は、SAML トークンを使用して Web アプリケーションまたは Web サービス SSO を実行するための、プロトコルおよびトークンの XML 形式を指定します。 SAML トークンの詳細については、 SAML 仕様 (https://go.microsoft.com/fwlink/?LinkID=213719) を参照してください。

注意

SAML 1.1 および SAML 2.0 トークンは、Windows Identity Foundation (https://go.microsoft.com/fwlink/?LinkID=213729) など、さまざまな開発プラットフォームで広くサポートされています。

SAML トークンの例を以下に示します。

<assertion id="_4fe09cda-cad9-49dd-b493-93494e1ae4f9" issueinstant="2012-09-18T20:42:11.626Z"
    version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion">
<issuer>https://test05.accesscontrol.windows.net/</issuer>
<ds:signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:signedinfo>
        <ds:canonicalizationmethod algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <ds:signaturemethod algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
        <ds:reference uri="#_4fe09cda-cad9-49dd-b493-93494e1ae4f9">
            <ds:transforms>
                <ds:transform algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <ds:transform algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </ds:transforms>
            <ds:digestmethod algorithm="http://www.w3.org/2001/04/xmlenc#sha256" />
            <ds:digestvalue>8qmfRKuATFuo4M96xuci7HCLUGUeO3eBxHOi9/HaFNU=</ds:digestvalue>
        </ds:reference>
    </ds:signedinfo>
<ds:signaturevalue>UWcXJElfrP8hfdNi8ipzSjfxCYGYzoylkn5HdSa8IhphvyZBvbZl1OFEbMSygoo8xNgnywUNPuzZP8nV7CwZNuSWVZZSrF2pHAswBKQoJoodpzrGRR0ruT+A2sjXfnLQqN+X/xanXqqg4ViUOR9xHvn8vzaRwYxPPsjI4OXq0hzLlyuBzhw42XHzZk1qknQr1wp/lZTMwrFnY38gziUZ+Ci1Duen5Xt9k+0ZFujtSBqJKIran1V263o8CkvoahNcNKT//OcXc3va7zeJf67V9/lwY34MkFoqqfeuTSzEuZfk7pYRNqwhOZGhokpR+1qHjEbJr3p6dOOPkuQp9p6zsQ==</ds:signaturevalue>
    <keyinfo xmlns="http://www.w3.org/2000/09/xmldsig#">
        <X509Data>       <X509Certificate>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</X509Certificate>
        </X509Data>
    </keyinfo>
</ds:signature>
<subject>
    <NameID>abc1def2ghi3jkl4mno5pqr6stu7vwx8yza9bcd0efg=</NameID>
    <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer" />
</subject>
    <conditions notbefore="2012-09-18T20:42:11.610Z" notonorafter="2012-09-18T21:42:11.610Z">
        <AudienceRestriction>
            <Audience>https://localhost:63000/</Audience>
        </AudienceRestriction>
    </conditions>
    <attributestatement>
        <Attribute Name="https://schemas.microsoft.com/accesscontrolservice/2010/07/claims/identityprovider">
            <AttributeValue>uri:WindowsLiveID</AttributeValue>
        </Attribute>
    </attributestatement>
</assertion>

Simple Web Token (SWT)

Simple Web Token (SWT) トークンは SimpleWebToken 仕様に準拠しています。 SWT トークンは、暗号化キーで署名されているフォームエンコードされたキー/値のペアとして表されます。仕様では一部のキー/値のペアの存在を義務付けていますが、アプリケーション固有のキー/値のペア用の領域は確保されます。 ACS によって発行された SWT トークンに常に存在するキーを次の表に示します。

Key	説明
発行者	トークンを発行した ACS サービス名前空間の表現。この値のパターンは https://< servicenamespace.accesscontrol.windows.net/> です。
対象ユーザー	トークンの要求に使用される `applies_to` の値。この値は HTTP または HTTPS URI のいずれかです。
ExpiresOn	トークンの有効期限が切れるエポック時間。
HMACSHA256	他のすべてのキー/値のペアの HMACSHA256 署名。このキー/値のペアは常にトークンにおける最後のキー/値のペアです。他のキー/値のペアのフォームエンコードされた表現は署名されます。

これらのキーと値のペアに加えて、ACS は発行前に 1 つ以上の要求をトークンに追加します。これらの要求は、トークン要求時に ACS に存在するルール構成によって駆動されます。このような要求のすべてに種類と 1 つ以上の値があります。種類と値の両方が文字列です。要求に複数の値が含まれている場合、それらの値はコンマ (「,」) 文字で区切られます。要求は、上記の表に示されているキー/値のペアのとおり正確に、キー/値のペアとしてエンコードされます。

キーと値のペアとして表される要求を含む ACS トークンの例を次に示します。

Audience=http%3a%2f%2flocalhost%2fmyservice&ExpiresOn=1255913549Issuer=https%3a%2f%2fmyservice.accesscontrol.windows.net%2f&role=Admin%2cUser&role=Admin%2cUser&&HMACSHA256=sT7Hr9z%2b3t1oDFLpq5GOToVsu6Dyxpq7hHsSAznmwnI%3d

HMACSHA256 キー/値のペアを除き、これらのペアは任意の順序で指定することができます。次の ACS トークンは、異なる署名を除き、前の ACS トークンと同等です。

role=Admin%2cUser&customerName=Contoso%20Corporation&Issuer=https%3a%2f%2fmyservice.accesscontrol.windows.net%2f&Audience=http%3a%2f%2flocalhost%2fmyservice&ExpiresOn=1255912922&HMACSHA256=yuVO%2fwc58%2ftYP36%2fDM1mS%2fHr0hswpsGTWwgfvAbpL64%3d

次の表では、URL デコードされた値を持つトークンの内容を示します。

ソース	キー	URL エンコードされた値	URL デコードされた値
ユーザー定義の要求	role	Admin%2cUser	Admin,User
ユーザー定義の要求	customerName	Contoso%20Corporation	Contoso Corporation
システム定義の要求	発行者	https%3a%2f%2fmyservice.accesscontrol.windows.net%2f	https://myservice.accesscontrol.windows.net/
	対象ユーザー	http%3a%2f%2flocalhost%2fmyservice	https://localhost/myservice
	ExpiresOn	1255912922	1255912922
	HMACSHA256	yuVO%2fwc58%2ftYP36%2fDM1mS%2fHr0hswpsGTWwgfvAbpL64%3d	yuVO/wc58/tYP36/DM1mS/Hr0hswpsGTWwgfvAbpL64=

JSON Web Token (JWT)

JSON Web Token (JWT) サポートはベータ版で追加されています。これは、予告なしで重大な変更が生じる可能性があることを意味します。

JWT トークン形式の ACS 実装は、JWT 仕様のドラフト 9 に従います。詳細については、「https://go.microsoft.com/fwlink/?LinkID=253666」を参照してください。 SWT トークンに似ていますが、JWT は REST Web サービスに適したコンパクトなトークン形式です。 SWT 形式とは異なり、JWT ではさまざまな署名オプションがサポートされています。 ACS では、JWT トークンの対称署名と非対称署名の両方がサポートされています。 ACS によって発行された JWT トークンに常に存在する要求を次の表に示します。

要求	JWT を使用する要求の種類	[説明]
発行者	iss	トークンを発行したAccess Control名前空間の表現。この値のパターンは https://< namespace.accesscontrol.windows.net/>
対象ユーザー	aud	トークンの要求に使用されるスコープの値。この値はトークンの対象の受信者を特定するために使用されます。
期間の開始時刻	nbf	トークンが有効になるエポック時間。
有効期限	exp	トークンの有効期限が切れるエポック時間。

JWT トークンでは以下のアルゴリズムがサポートされます。

JWT ヘッダーのアルゴリズム ID	[説明]
HS256	SHA-256 ハッシュアルゴリズムを使用する HMAC。対称キーを使用して JWT に署名する場合。
RS256	SHA-256 ハッシュアルゴリズムを使用する RSA。証明書で x509 を使用し、非対称キーで JWT に署名する場合。

JWT トークンの例を以下に示します。

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJodHRwczovL2NvbnRvc28uY29tL3JlbHlpbmdwYXJ0eSIsImlzcyI6Imh0dHBzOi8vY29udG9zby5hY2Nlc3Njb250cm9sLndpbmRvd3MubmV0LyIsIm5iZiI6MTMzNjA2NzMzOCwiZXhwIjoxMzM2MDcwOTM4LCJuYW1laWQiOiJjbGllbnRBcHAiLCJpZGVudGl0eXByb3ZpZGVyIjoiY29udG9zby5jb20ifQ._3dZQ6cmmFgrZ_-VmOLrr7CHne3Xdko_WtE6-Je5Ihw.

JWT は「.」を使用して区切られたセグメントで構成されます。次の表では、JWT トークンのデコードされたセグメントを示します。

JWT セグメント	値
JWT ヘッダー	{"typ":"JWT","alg":"HS256"}
JWT 要求セット	{"aud":"https://contoso.com/relyingparty","iss":"https://contoso.accesscontrol.windows.net/","nbf":1336067338,"exp":1336070938,"nameid":"clientApp","identityprovider":"contoso.com"}
署名	_3dZQ6cmmFgrZ_-VmOLrr7CHne3Xdko_WtE6-Je5Ihw

複数の値を含む単一の要求は JSON 配列として表されます。たとえば、ユーザーが複数のロールのメンバーである場合、ロール要求は次のように表示されます。

{
 "aud":"https://contoso.com/relyingparty",
"iss":"https://contoso.accesscontrol.windows.net/",
"nbf":1336067338,"exp":1336070938,
"nameid":"frankm",
"identityprovider":"contoso.com",
“role”: [ “admin”, “user” ]
}

ACS トークンとプロトコル

SAML 2.0、SAML 1.1、SWT、JWT トークンが発行されると、ACS はさまざまな標準プロトコルを使用してトークンを Web アプリケーションまたはサービスに返します。 ACS では、次のトークン形式とプロトコルの組み合わせがサポートされています。

ACS は、(トークン要求で使用されるプロトコルに応じて) WS-TrustおよびWS-Federationプロトコルを介して SAML 2.0 トークンを発行して返すことができます。
ACS は、(トークン要求で使用されるプロトコルに応じて) WS-Federationおよび関連するWS-Trust プロトコルを介して SAML 1.1 トークンを発行して返すことができます。
ACS は、WS-Federation、WS-Trust、OAuth WRAP または OAuth 2.0 プロトコル (トークン要求で使用されるプロトコルに応じて) を介して SWT トークンを発行および返すことができます。
ACS は、WS-Federation、WS-Trust、または OAuth 2.0 プロトコルを介して JWT トークンを発行できます (トークン要求で使用されるプロトコルに応じて)。

参照

概念

ACS アーキテクチャ
 ACS 2.0 コンポーネント

次の方法で共有

ACS でサポートされるトークン形式

Security Assertion Markup Language (SAML) 1.1 および 2.0

Simple Web Token (SWT)

JSON Web Token (JWT)

ACS トークンとプロトコル

参照

概念

その他のリソース