フェデレーション ID 資格情報

フェデレーション ID 資格情報を使用すると、外部 OAuth アプリケーションは、クライアント シークレットの代わりに、外部 ID プロバイダーが発行する JSON Web トークン (JWT) を使用して UiPath で認証できます。これにより、マシン間の認証のためにクライアント シークレットを保存、ローテーション、保護する必要がなくなります。

ゼロ トラスト セキュリティ モデルを採用している組織では、フェデレーション資格情報を使用することで、OAuth アプリケーションを信頼できる ID プロバイダー (Microsoft Entra ID、AWS、Google Cloud など) を介して認証することができ、有効期間が長いシークレットの管理が不要になります。

フェデレーション ID 資格情報の仕組み

1. 外部アプリケーションが、設定されている ID プロバイダーに JWT を要求します。
2. ID プロバイダーが、設定されている発行者、オーディエンス、およびサブジェクトのクレームを含む、署名付きの JWT を発行します。
3. アプリケーションが UiPath のトークン エンドポイントにトークン要求を送信し、JWT を client_assertion パラメーターとして指定します。
4. UiPath が ID プロバイダーの公開署名キーをその JWKS エンドポイントから取得し、JWT の署名、発行者、オーディエンス、サブジェクト、有効期限を検証します。
5. 検証に成功すると、UiPath はクライアント資格情報フローと同じスコープと有効期間を持つアクセス トークンを発行します。

資格情報フィールド

各フェデレーション資格情報では、次の 3 つのトークン検証パラメーターが定義されます。

フィールド	説明
発行者	外部 ID プロバイダーの HTTPS URI です。JWT の iss クレームと完全に一致する必要があります。UiPath は、ユーザーが資格情報を作成または更新する際に、発行者の JWKS エンドポイントがアクセス可能であることを検証します。
オーディエンス	JWT の aud クレームに含める必要がある単一の文字列値です。
件名	JWT の sub クレームと完全に一致する必要がある値です。

制約

• JWT では RS256 署名アルゴリズムを使用する必要があります。
• 8 KB を超える JWT は検証前に拒否されます。
• 各 OAuth アプリケーションは、最大 20 個のフェデレーション資格情報をサポートします。
• フェデレーション資格情報を介して発行されるアクセス トークンの有効期間は 1 時間です。
• 複数のサブジェクトまたは発行者から認証するには、サブジェクトと発行者の組み合わせごとに別個のフェデレーション資格情報を登録します。

制限事項

このリリースでは、以下はサポートされていません。

• RS256 以外の JWT アルゴリズム
• ワイルドカードを使用した、発行者、オーディエンス、またはサブジェクトの値の一致
• 1 つのフェデレーション資格情報での複数のオーディエンスの値

関連トピック

• フェデレーション ID 資格情報を管理する
• OAuth アプリ
• 外部クライアント — フェデレーション資格情報 API