ステップ 1：クライアント資格情報を保存する
OIDC アプリを作成すると、Iru はクライアント ID とクライアントシークレットを生成します。 シークレットは一度だけ表示されるため、ダイアログを閉じる前に両方を安全な場所にコピーしてください。 アプリの Protocol details には、サービスが Iru と通信するために必要なエンドポイントも表示されます。ステップ 2：リダイレクト URI を設定する
アプリのドラフトの OIDC 設定で、Iru がリダイレクトを許可される URI を追加します。1
許可されたサインインリダイレクト URI
サインオンが成功した後に Iru がユーザーを戻す場所。サービスが使用するすべての URL を追加します。
2
許可されたサインアウトリダイレクト URI
サインアウト後に Iru がユーザーを戻す場所。
リダイレクト URI は完全に一致する必要があります。リダイレクト URI でワイルドカードを許可する
オプションがありますが、完全一致の方が安全なため、サービスで特に必要な場合を除きオフにしておいてください。
ステップ 3：スコープを選択する
スコープは、サービスが要求できるクレームのカテゴリを制御します。Iru は標準の OpenID Connect スコープを提供しています。ステップ 4：サブジェクトとクレームをマッピングする
アプリケーションのマッピングを開きます。マッピングには 件名 と追加のクレームがあります。サブジェクト
サブジェクトは、サインインしたユーザーの主要な識別子であり、sub クレームとして送信されます。
OIDC アプリの場合、デフォルトのサブジェクトはユーザーの user.id からマッピングされます。
取得元の値を変更し、スコープに関連付けることができます。
クレーム
サービスが ID トークンに想定する追加のクレームを追加します。それぞれについて次を設定します。- Name： クレーム名。
- 値： 取得元のプロファイル属性または式。
- スコープ： クレームが属するスコープ。
- 有効かどうか。
ステップ 5：クライアントシークレットをローテーションする
クライアントシークレットは、アプリを再作成することなく、アプリの Protocol details → Client secrets からローテーションできます。ローテーション
ローテーション
Rotate を実行すると新しいクライアントシークレットが発行され、以前のシークレットは
24 時間引き続き機能するため、古いシークレットが停止する前にサービスを更新できます。
その期間中、以前のシークレットには Expires Soon バッジが表示されます。新しく発行された
シークレットは長期間有効です。
無効化
無効化
Invalidate を実行すると、猶予期間なしに現在のシークレットが直ちに終了します。
シークレットが漏洩した可能性がある場合に使用し、すぐにサービスを更新してください。
Iru は ID トークンの署名に使用する署名キーを管理し、ディスカバリーおよびキーのエンドポイントで
公開しているため、サービスはトークンを自動的に検証します。手動でローテーションする必要はありません。
ステップ 6：公開、割り当て、有効化
1
ドラフトを現在のバージョンとして設定する
ドラフトを公開して、ライブの設定にします。
2
アクセスを割り当てる
アプリを使用するグループを割り当てます。
アクセスの割り当てを参照してください。
3
有効化する
割り当てられたユーザーがサインインできるよう、アプリをアクティブにします。
4
サインオンをテストする
アプリダッシュボードからテストユーザーとしてサインインし、エクスペリエンスを確認します。
認証フロー
OIDC アプリは認可コードフローでユーザーをサインインさせます。1
Iru にリダイレクトする
アプリはユーザーをサインインのために Iru に送ります。
2
認証してポリシーを評価する
Iru はユーザーを認証し、アプリの認証ポリシーを評価します。
3
認可コードを返す
Iru は短期間有効な認可コードとともに、アプリのリダイレクト URI にリダイレクトします。
4
コードをトークンと交換する
アプリは Iru のトークンエンドポイントでコードを ID トークン（ユーザーが誰であるか）と
アクセストークンに交換します。
5
クレームを読み取る（およびサインイン状態を維持する）
アプリはアクセストークンを使用してユーザー情報エンドポイントを呼び出してプロファイルクレームを
読み取ることができ、（
offline_access を有効にした場合）リフレッシュトークンを使用して
サインイン状態を維持できます。次のステップ
アクセスの割り当て
ユーザーとグループにアプリへのアクセスを付与します。
プロビジョニング
アクセスの変更に応じて、アプリのアカウントを自動的に作成および削除します。
認証ポリシー
サインインできるユーザーと、証明する必要がある内容を決定します。
アプリケーションの概要
プロトコルと、ドラフトから現在へのバージョンモデルを確認します。