Microsoft ID プラットフォームと OAuth 2.0 デバイス承認付与フロー

Microsoft ID プラットフォームでは、 デバイス承認付与がサポートされています。これにより、ユーザーはスマート テレビ、IoT デバイス、プリンターなどの入力に制約のあるデバイスにサインインできます。 このフローを有効にするには、ユーザーが別のデバイスのブラウザーの Web ページにアクセスしてサインインするようにデバイスに設定します。 ユーザーがサインインすると、デバイスは必要に応じてアクセス トークンと更新トークンを取得できます。

この記事では、アプリケーション内のプロトコルに対して直接プログラムする方法について説明します。 可能な場合は、代わりにサポートされている Microsoft 認証ライブラリ (MSAL) を使用してトークンを取得し、セキュリティで保護された Web API 呼び出することをお勧めします。 例として MSAL を使用するサンプル アプリ を参照できます。

プロトコル図

デバイス コード フロー全体を次の図に示します。 各手順については、この記事全体で説明します。

デバイス承認要求

クライアントは最初に、認証を開始するために使用するデバイスとユーザー コードを認証サーバーで確認する必要があります。 クライアントは、 /devicecode エンドポイントからこの要求を収集します。 要求には、ユーザーから取得する必要があるアクセス許可もクライアントに含める必要があります。

要求が送信された時点から、ユーザーはサインインに 15 分かかります。 これは、expires_inの既定値です。 要求は、ユーザーがサインインの準備ができていることを示した場合にのみ行う必要があります。

// Line breaks are for legibility only.

POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/devicecode
Content-Type: application/x-www-form-urlencoded

client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&scope=user.read%20openid%20profile

デバイス承認応答

成功した応答は、ユーザーがサインインできるようにするために必要な情報を含む JSON オブジェクトです。

ユーザーの認証

クライアントが user_code と verification_uriを受信すると、値が表示され、ユーザーはモバイルまたは PC ブラウザーを使用してサインインするように指示されます。

ユーザーが /common または /consumersを使用して個人アカウントで認証を行った場合、認証状態をデバイスに転送するために、もう一度サインインするように求められます。 これは、デバイスがユーザーの Cookie にアクセスできないためです。 クライアントによって要求されたアクセス許可に同意するように求められます。 ただし、これは認証に使用される職場または学校アカウントには適用されません。

ユーザーがverification_uriで認証している間、クライアントは、device_codeを使用して、要求されたトークンの/token エンドポイントをポーリングする必要があります。

POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:device_code&client_id=00001111-aaaa-2222-bbbb-3333cccc4444&device_code=GMMhmHCXhWEzkobqIHGG_EnNYYsAkukHspeYUk9E8...

予期されるエラー

デバイス コード フローはポーリング プロトコルであるため、ユーザー認証が完了する前にクライアントに提供されるエラーが予想される必要があります。

成功した認証応答

成功したトークン応答は次のようになります。

{
    "token_type": "Bearer",
    "scope": "User.Read profile openid email",
    "expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...",
    "refresh_token": "AwABAAAAvPM1KaPlrEqdFSBzjqfTGAMxZGUTdM0t4B4...",
    "id_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0.eyJhdWQiOiIyZDRkMTFhMi1mODE0LTQ2YTctOD..."
}

更新トークンを使用すると、 OAuth コード フローのドキュメントに記載されているのと同じフローを使用して、新しいアクセス トークンと更新トークンを取得できます。