News

Authlete 新バージョン 2.3 提供開始のお知らせ

FAPI 2.0, OIDC Federation, OIDC4IDA の最新ドラフト仕様に対応するとともに、さまざまな OAuth/OIDC ユースケースを実現するための機能を強化

  • January 10, 2023

株式会社 Authlete は、2023 年 1 月 10 日、“Authlete 2.3” の提供を開始しました。

“Authlete” は、OAuth 2.0 / OpenID Connect (OIDC) のコア機能を API 部品として提供する、“OAuth/OIDC Component as a Service” ソリューションです。API 認可・ID 連携機能のバックエンドとして、金融サービスや E コマース、メディア、さらに B2B SaaS など、幅広い分野のお客さまにご活用いただいています。また、世界で最初に “Certified FAPI OpenID Providers” のすべての認定を取得するなど、最新 OAuth/OIDC 仕様の実装において業界を主導しています。

最新バージョンの Authlete 2.3 は、米国 OpenID Foundation において策定が進む “FAPI 2.0 Security Profile”、“OpenID Connect Federation 1.0”、“OpenID Connect for Identity Assurance 1.0” の各最新ドラフト仕様に対応しています。お客さまは今すぐに、次世代オープン標準に準拠した ID/API 基盤の構築を開始可能です。

また Authlete 2.3 では、OAuth/OIDC 拡張仕様のサポートや、カスタマイズ可能な設定の追加、そして Authlete API の拡充を行い、OAuth/OIDC のプロファイリング（詳細仕様化）の自由度がさらに向上しました。お客さまは Authlete を活用し、自社のユースケースに適合する最適な OAuth/OIDC サービスを、迅速かつセキュアに実装できるようになります。

Authlete 2.3 の主な特徴

FAPI 2.0, OIDC Federation, OIDC4IDA のサポート

FAPI 2.0 (FAPI 2.0 Security Profile)

  • FAPI 2.0 は、金融サービスに求められる API セキュリティを実現するための仕様群 “Financial-grade API 1.0” の次期バージョンです。最新 OAuth/OIDC 拡張仕様の導入や、FAPI 1.0 の実運用から得た知見の取り込み、さらに仕様群の再構成により、実装しやすさの向上と幅広い分野（非金融サービスを含む）での採用が期待されています。FAPI 2.0 仕様群のひとつである “FAPI 2.0 Security Profile” は、FAPI 1.0 における “FAPI Security Profile 1.0 - Part 2: Advanced” の実質的な後継であり、現時点の版は 2nd Implementer’s Draft です。

OIDC Federation (OpenID Connect Federation 1.0)

  • OIDC Federation は、「マルチラテラルなフェデレーションモデル」において、事前の直接的な信頼関係が無い OIDC サービス (OpenID プロバイダー / リライングパーティ) 同士が、信頼できる第三者の仲介により、動的に連携するための仕様です。インターネット上に世界規模の高信頼性デジタルアイデンティティネットワークを構築するプロジェクト “GAIN (Global Assured Identity Network)” の PoC (Proof of Concept) において、技術仕様のひとつとして採用されています。現時点の版は Draft 25 です。

OIDC4IDA (OpenID Connect for Identity Assurance 1.0)

  • OIDC4IDA は、OIDC を拡張し、「検証済みクレーム（ユーザー属性情報と、それがいつ・どのように・何の法規制に依拠して・どのような証拠に基づいて検証されたかを示す情報）」を要求・伝達するための仕様です。マネーロンダリング防止法やヘルスデータアクセス規制への準拠、リスク軽減、詐欺防止など、強力な身元確認を必要とするユースケースへの対応を目的としています。また OIDC Federation と同様、GAIN PoC における技術仕様のひとつとして採用されています。現時点の版は 4th Implementer’s Draft です。

新たな OAuth/OIDC 拡張仕様への対応

  • RFC 8693 OAuth 2.0 Token Exchange
  • RFC 7523 Section 2.1 / JWT Authorization Grant
  • OAuth 2.0 Step-up Authentication Challenge Protocol
  • Grant Management for OAuth 2.0
  • Advanced Syntax for Claims(ASC) / Transformed Claims

設定の追加と API の拡充

  • リフレッシュトークンの冪等化設定
  • ループバックリダイレクト URI のポート番号部可変化設定
  • 外部アタッチメント用アクセストークンの自動生成設定 (OIDC4IDA)
  • トークンリフレッシュ時の openid スコープ削除設定
  • クライアントごとに設定可能な項目の追加（アクセストークン単一化、PKCE 必須化など）
  • JWT アクセストークンのペイロード部への任意クレーム埋め込み
  • ID トークンのヘッダー部への任意クレーム埋め込み
  • ディスカバリー文書の操作（JSON Patch 対応）

詳細については後日公開する「Authlete 2.3 リリースノート」をご参照ください。