Use Case Ciba

CIBA（モバイル承認 + FIDO-UAF）

ヒアリング項目

User Code の設計

CIBA の user_code パラメータは、CIBAリクエストを送信したクライアントが本当にユーザーの意図を持っているかを追加検証する仕組み。

現在のidp-serverの実装: backchannel_auth_user_code_type = "password" のみサポート。 UserCodeAsPasswordVerifier が user_code の値をユーザーのパスワードハッシュと照合する。

つまり user_code にはユーザーのパスワードを渡す。

// UserCodeAsPasswordVerifier.java
public void verify(CibaRequestContext context, User user) {
  UserCode userCode = context.userCode();
  if (!passwordVerificationDelegation.verify(userCode.value(), user.hashedPassword())) {
    throw new BackchannelAuthenticationBadRequestException(
        "invalid_user_code", "The user code was invalid. Unmatch to user password.");
  }
}

関連設定:

E2Eテストでの使い方: userCode: userPassword を渡す（パスワードがuser_code）。

環境変数マッピング

CIBA 固有設定

FIDO-UAF / デバイスシークレット設定

共通設定（login-password-only と同じ）

設定対象と手順

1. テナント作成（CIBA + FIDO-UAF + authentication_device_rule付き）

認可サーバーに以下の設定が含まれること:

{
  "grant_types_supported": [
    "authorization_code",
    "refresh_token",
    "urn:openid:params:grant-type:ciba",
    "urn:ietf:params:oauth:grant-type:jwt-bearer"
  ],
  "scopes_supported": [
    "openid", "profile", "email",
    "claims:authentication_devices"
  ],
  "backchannel_authentication_endpoint": "${BASE_URL}/${PUBLIC_TENANT_ID}/v1/backchannel/authentications",
  "backchannel_token_delivery_modes_supported": ["poll"],
  "extension": {
    "custom_claims_scope_mapping": true
  }
}

テナントに authentication_device_rule が含まれること:

{
  "identity_policy_config": {
    "authentication_device_rule": {
      "max_devices": 5,
      "required_identity_verification": false,
      "authentication_type": "device_secret_jwt",
      "issue_device_secret": true,
      "device_secret_algorithm": "HS256",
      "device_secret_expires_in_seconds": 31536000
    }
  }
}

2. FIDO-UAF認証設定

FIDO-UAFモックサーバーに接続する認証設定:

{
  "type": "fido-uaf",
  "interactions": {
    "fido-uaf-registration-challenge": { "...registration challenge..." },
    "fido-uaf-registration": { "...registration complete..." },
    "fido-uaf-authentication-challenge": { "...authentication challenge..." },
    "fido-uaf-authentication": { "...authentication complete..." }
  }
}

3. クライアント設定（CIBA + JWT Bearer grant + device federation）

{
  "grant_types": [
    "authorization_code",
    "refresh_token",
    "urn:openid:params:grant-type:ciba",
    "urn:ietf:params:oauth:grant-type:jwt-bearer"
  ],
  "scope": "openid profile email claims:authentication_devices",
  "extension": {
    "available_federations": [{
      "issuer": "device",
      "type": "device",
      "subject_claim_mapping": "sub",
      "jwt_bearer_grant_enabled": true
    }],
    "default_ciba_authentication_interaction_type": "authentication-device-notification-no-action"
  }
}

4. 認証ポリシー（2つ必要）

OAuth フロー用（ブラウザ認証）

• flow: "oauth"
• password + fido-uaf + initial-registration

CIBA フロー用（デバイス認証）

• flow: "ciba"
• fido-uaf認証のみ
• デバイス側で FIDO-UAF 認証を実行

CIBA フロー概要

=== Phase 1: ユーザー登録 + デバイス登録 ===
1. ユーザー → Webでアカウント登録（initial-registration）
2. アプリ → FIDO-UAF登録チャレンジ取得
3. アプリ → FIDO-UAF登録完了 → device_id + device_secret 発行
4. 認可完了 → トークン交換 → ユーザーとデバイスがDBに永続化

=== Phase 2: CIBAフロー ===
5. クライアント → backchannel_authentication_endpoint
   login_hint: "device:${DEVICE_ID},idp:idp-server"
   → auth_req_id を取得

6. デバイス → device_secret_jwt で認証トランザクション取得
   GET /authentication-devices/${DEVICE_ID}/authentications
   Authorization: Bearer ${device_secret_jwt}

7. デバイス → FIDO-UAF認証チャレンジ + 認証完了

8. クライアント → token_endpoint（auth_req_id でポーリング）
   → 認証完了後、access_token を取得

設定確認チェックリスト

動作確認時のprompt値

テンプレートファイル参照

• テンプレート: config/templates/use-cases/ciba/
• FIDO-UAF設定: config/templates/use-cases/ciba/authentication-config-fido-uaf.json
• デバイス承認スクリプト: config/templates/use-cases/ciba/ciba-device-auth.sh

関連ドキュメント

• content_06_developer-guide/03-application-plane/06-ciba-flow.md

$ARGUMENTS