8.3. 認証フロー

手順

1. メニューで Authentication をクリックします。
2. リスト内の Browser 項目をクリックして詳細を表示します。

手順

1. メニューで Authentication をクリックします。
2. Create flow をクリックします。

手順

1. メニューで Authentication をクリックします。
2. Flows タブをクリックします。
3. Create flow をクリックします。
4. 名前として Browser Password-less を入力します。
5. Create をクリックします。
6. Add execution をクリックします。
7. リストから Cookie を選択します。
8. Add をクリックします。
9. Cookie 認証タイプの Alternative を選択して、その要件を代替に設定します。
10. Add step をクリックします。
11. リストから Kerberos を選択します。
12. Add をクリックします。
13. Add step をクリックします。
14. リストから Identity Provider Redirector を選択します。
15. Add をクリックします。
16. Identity Provider Redirector 認証タイプの Alternative を選択して、その要件を代替に設定します。
17. Add sub-flow をクリックします。
18. 名前として Forms と入力します。
19. Add をクリックします。

20. Forms 認証タイプの Alternative を選択して、その要件を代替に設定します。

    ブラウザーフローの共通部分

    

21. Forms 実行の + メニューをクリックします。
22. Add step を選択します。
23. リストから Username Form を選択します。
24. Add をクリックします。

1. Forms サブフローの + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 名前として Authentication を入力します。
4. Add をクリックします。
5. Authentication 認証タイプで Required を選択し、その要件を必須に設定します。
6. Authentication サブフローの + メニューをクリックします。
7. Add step をクリックします。
8. リストから WebAuthn Passwordless Authenticator を選択します。
9. Add をクリックします。
10. Webauthn Passwordless Authenticator 認証タイプの Alternative を選択して、その要件を代替に設定します。
11. Authentication サブフローの + メニューをクリックします。
12. Add sub-flow をクリックします。
13. 名前として Password with OTP を入力します。
14. Add をクリックします。
15. Password with OTP で Alternative を選択し、その要件を代替に設定します。
16. Password with OTP サブフローの + メニューをクリックします。
17. Add step をクリックします。
18. リストから Password Form を選択します。
19. Add をクリックします。
20. Password Form 認証タイプで Required を選択し、その要件を必須に設定します。
21. Password with OTP サブフローの + メニューをクリックします。
22. Add step をクリックします。
23. リストから OTP Form を選択します。
24. Add をクリックします。
25. OTP Form 認証タイプの Required をクリックして、その要件を必須に設定します。

1. 画面上部の Action メニューをクリックします。
2. メニューから Bind flow を選択します。
3. Browser Flow ドロップダウンリストをクリックします。
4. Save をクリックします。

手順

1. メニューで Authentication をクリックします。
2. Flows タブをクリックします。
3. Create flow をクリックします。
4. Browser Incl Step up Mechanism を名前として入力します。
5. Save をクリックします。
6. Add execution をクリックします。
7. リストから Cookie を選択します。
8. Add をクリックします。
9. Cookie 認証タイプの Alternative を選択して、その要件を代替に設定します。
10. Add sub-flow をクリックします。
11. Auth Flow を名前として入力します。
12. Add をクリックします。
13. Auth Flow 認証タイプの Alternative をクリックして、その要件を代替に設定します。

1. Auth Flow の + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 1st Condition Flow を名前として入力します。
4. Add をクリックします。
5. 1st Condition Flow 認証タイプの Conditional をクリックし、その要件を条件に設定します。
6. 1st Condition Flow の + メニューをクリックします。
7. Add condition をクリックします。
8. リストから Conditional - Level Of Authentication を選択します。
9. Add をクリックします。
10. Conditional - Level Of Authentication 認証タイプの Required をクリックして、その要件を必須に設定します。
11. ⚙️ (歯車アイコン) をクリックします。
12. Level 1 をエイリアスとして入力します。
13. レベル認証 (LoA) に 1 と入力します。
14. Max Age を 36000 に設定します。この値は秒単位であり、10 時間に相当します。これは、レルムで設定されているデフォルトの SSO Session Max タイムアウトです。その結果、ユーザーがこのレベルで認証される場合、後続の SSO ログインはこのレベルを再利用でき、ユーザーセッションが終了するまでユーザーはこのレベルで認証する必要はありません (デフォルトでは 10 時間)。

15. Save をクリックします。

    最初の認証レベルの条件を設定します。

    

16. 1st Condition Flow の + メニューをクリックします。
17. Add step をクリックします。
18. リストから Username Password Form を選択します。
19. Add をクリックします。

1. Auth Flow の + メニューをクリックします。
2. Add sub-flow をクリックします。
3. 2nd Condition Flow をエイリアスとして入力します。
4. Add をクリックします。
5. 2st Condition Flow 認証タイプの Conditional をクリックし、その要件を条件に設定します。
6. 2nd Condition Flow の + メニューをクリックします。
7. Add condition をクリックします。
8. 項目リストから Conditional - Level Of Authentication を選択します。
9. Add をクリックします。
10. Conditional - Level Of Authentication 認証タイプの Required をクリックして、その要件を必須に設定します。
11. ⚙️ (歯車アイコン) をクリックします。
12. Level 2 をエイリアスとして入力します。
13. 認証レベル (LoA) に 2 と入力します。
14. Max Age を 0 に設定します。その結果、ユーザーが認証する場合、このレベルは現在の認証に対してのみ有効ですが、後続の SSO 認証に対しては有効ではありません。したがって、このレベルが要求された場合、ユーザーは常にこのレベルで再度認証する必要があります。

15. Save をクリックします。

    2 つ目の認証レベルの条件を設定する

    

16. 2nd Condition Flow の + メニューをクリックします。
17. Add step をクリックします。
18. リストから OTP Form を選択します。
19. Add をクリックします。
20. OTP Form 認証タイプの Required をクリックして、その要件を必須に設定します。

1. 画面上部の Action メニューをクリックします。
2. リストから Bind flow を選択します。
3. ドロップダウンから Browser Flow を選択します。
4. Save をクリックします。

1. Max Age は、レベル 1 の状態で 300 秒として設定されています。
2. ログイン要求は、acr を要求せずに送信されます。レベル 1 が使用され、ユーザーはユーザー名とパスワードで認証する必要があります。トークンには acr=1 があります。
3. 別のログイン要求は 100 秒後に送信されます。SSO によりユーザーが自動的に認証され、トークンは acr=1 を返します。
4. さらに 201 秒 (ポイント 2 での認証から 301 秒) 後に別のログイン要求が送信されます。ユーザーは SSO により自動的に認証されますが、レベル 1 が期限切れと見なされるため、トークンは acr=0 を返します。
5. 別のログイン要求が送信されますが、これで、claims パラメーターでレベル 1 の ACR が明示的に要求されます。ユーザーはユーザー名/パスワードで再認証するように求められ、その後 acr=1 がトークンで返されます。