身元確認済みID

---

前提知識

このドキュメントを理解するには、以下の基礎知識が役立ちます：

• OAuth 2.0の基本 - OAuth 2.0の認可の仕組み
• OpenID Connectの基本 - OIDCによる認証
• 認可コードフロー - トークン取得の詳細フロー
• CIBA - バックチャネル認証フロー

---

概要

idp-server は、OpenID Connect for Identity Assurance (OIDC4IDA) に準拠した 身元確認済みのID連携 をサポートしています。

クライアント（Relying Party, RP）は IDトークンなどから 検証済みの本人情報（verified claims） を取得することができます。

idp-server では以下のような用途に対応できます：

• 銀行・金融サービスでの「本人確認済みログイン」
• eKYC 結果を元にした段階的アクセス制御

身元確認方法

idp-server は 身元確認済みIDの機能を利用するに当たり身元確認方法を2つ用意しています。

1. 身元確認の申込みから利用するパターン 詳細
2. 身元確認結果を直接登録するパターン 詳細

身元確認の申込みから利用するパターン

• idp-server 経由で外部身元確認サービスへの申込みを実施し、身元確認済みの審査結果をidp-serverに登録します。

ステップ

1. アプリから身元確認の申込みを行い、idp-server経由で外部身元確認サービスに連携する
2. アプリでeKYCの実施し、idp-server経由で結果を外部身元確認サービスに連携する
3. 外部身元確認サービスでの審査
4. idp-serverが外部身元確認サービスから審査結果を受信する
5. 審査結果に応じて、ユーザーの検証済みクレームを更新する

※ 外部身元確認サービスのAPI仕様に合わせて、柔軟に idp-server の各申込のプロセスの設定を設定することができます。

シーケンス

身元確認結果を直接登録するパターン

外部身元確認サービスで実施した身元確認済みのデータを直接 idp-server に登録することができます。

ステップ

1. 外部身元確認サービスの審査結果をidp-serverに送信する
2. ユーザーの検証済みクレームを更新する

シーケンス

承認時のユーザー属性更新

どちらのパターンでも、身元確認が承認されると設定（result セクション）に基づいてユーザーの属性が更新されます。 申込みステータスの遷移から User への反映までの全体像は以下の通りです。

• verified_claims（OIDC4IDA 標準の検証済みクレーム）に加えて、標準クレーム（氏名・住所等のOCR確定値）と custom_properties（KYCレベル・会員ランク等の業務属性）を更新できる
• ユーザーステータスの遷移は設定で制御できる（省略時は IDENTITY_VERIFIED / KEEP で現状維持 / 任意のステータスを指定）
• 承認以外（rejected / cancelled）ではユーザー属性は更新されない

設定方法の詳細は身元確認 設定リファレンスを参照してください。

検証済みクレームの取得

idp-server は検証済みクレームを取得する方法を2つ用意しています。

1. OIDC4IDAの標準フローで、IDトークンに設定する方法
2. idp-server独自仕様で、アクセストークンに設定する方法

OIDC4IDAの標準フローで、IDトークンに設定する方法

idp-server は、OIDC4IDA Core 1.0 に基づき、IDトークン内に verified_claims を含めることができます。

このフローでは、OpenID Connect 標準の claims パラメーターを利用して、クライアントが取得したい verified claims（検証済みの本人情報） をリクエスト時に指定します。

例：claims パラメータを使った認可リクエスト

{
  "userinfo": {
    "verified_claims": {
      "verification": {
        "trust_framework": { "value": "jp-trust" }
      },
      "claims": {
        "name": null,
        "birthdate": null
      }
    }
  }
}

この JSON を claims パラメータとしてエンコードし、認可リクエストに含めることで、
idp-server は以下のような条件を満たす場合に verified_claims を id_token に埋め込みます：

埋め込み条件

• リクエストに claims パラメータが含まれていること
• 対象ユーザーの身元確認が完了しており、verified_claims に該当のclaimを所持していること

IDトークン出力例

jwt

eyJraWQiOiJpZF90b2tlbl9uZXh0YXV0aCIsImFsZyI6IlJTMjU2In0.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.SiuW5c7aNJcVAQTc6hVFOFH_fHeo_4L8ntX8ht-UcG1r1n-T4GMgxP4taZSEatoDjoxAzgMWvHhgYbz5LZ53v1hOlguBvf4-UoIuYpvPrSNTCDu8TjUD4sU6Fx1bZdBpt5mHkcE1U-ljrJWsaHGzcDIsJHh6RzLixCl5vUKjUXB-aeiu_yPlMsbBAaXsIoEqpxITGc1k8QvYa7UotGDl88v14OCY6WucqPg1aweZj3aXuuMx35mU9kVaavz0BnWuYfZzfU8LFmUDfo5CLwKubkc70a988pxK_o8EVt_UxHKR1qMoOmWlKs-_SRhpQEG-qdS8HH3sWLFbur5s-hG6VA

payload

{
  "at_hash": "LFG6N30C4R1SJLbPvyz_Bw",
  "sub": "3ec055a8-8000-44a2-8677-e70ebff414e2",
  "zoneinfo": "ja-jp",
  "verified_claims": {
    "claims": {
      "birthdate": "1976-03-11",
      "address": {
        "country": "UK",
        "street_address": "122 Burns Crescent",
        "locality": "Edinburgh",
        "postal_code": "EH1 9GP"
      },
      "given_name": "Sarah",
      "family_name": "Meredyth"
    },
    "verification": {
      "evidence": [
        {
          "check_details": [
            {
              "check_method": "kbv",
              "organization": "TheCreditBureau",
              "txn": "kbv1-hf934hn09234ng03jj3"
            }
          ],
          "record": {
            "source": {
              "name": "TheCreditBureau"
            },
            "type": "mortgage_account"
          },
          "time": "2021-04-09T14:12Z",
          "type": "electronic_record"
        },
        {
          "check_details": [
            {
              "check_method": "kbv",
              "organization": "OpenBankingTPP",
              "txn": "kbv2-nm0f23u9459fj38u5j6"
            }
          ],
          "record": {
            "source": {
              "name": "TheBank"
            },
            "type": "bank_account"
          },
          "time": "2021-04-09T14:12Z",
          "type": "electronic_record"
        }
      ],
      "trust_framework": "eidas"
    }
  },
  "birthdate": "2000-02-02",
  "gender": "other",
  "iss": "http://localhost:8080/67e7eae6-62b0-4500-9eff-87459f63fc66",
  "preferred_username": "ichiro",
  "locale": "locale",
  "updated_at": 1748152800,
  "auth_time": 1748312659,
  "nickname": "ito",
  "exp": 1748316259,
  "iat": 1748312659,
  "email": "ito.ichiro@gmail.com",
  "website": "https://example.com",
  "email_verified": false,
  "profile": "https://example.com/profiles/123",
  "phone_number_verified": false,
  "given_name": "ichiro",
  "middle_name": "mac",
  "picture": "https://example.com/pictures/123",
  "aud": "clientSecretPost",
  "c_hash": "oue_4LDi6VDkXw5fYPZZ2A",
  "s_hash": "-gaSbfEq7ENWiQ1IR9Q_eQ",
  "name": "ito ichiro",
  "phone_number": "09012345678",
  "family_name": "ito"
}

idp-server独自仕様で、アクセストークンに設定する方法

概要

idp-server では、スコープに verified_claims:プレフィックス付きスコープが含まれる場合、身元確認済みの属性を アクセストークンに含めることができます。

これは AccessTokenSelectiveVerifiedClaimsCreator により実現され、以下の条件で動作します：

• access_token_selective_verified_claims が有効であること
• 対象スコープが verified_claims: プレフィックスが含まれていること
• ユーザーが対応する verified_claims を所持していること

対象スコープが verified_claims:name の場合、ユーザーが持つverified_claimsの name をプロパティに設定します。

例：verified_claims:xxスコープ

scope=openid profile verified_claims:name verified_claims:birthdate

アクセストークン出力例

jwt

eyJhbGciOiJSUzI1NiIsInR5cCI6ImF0K2p3dCIsImtpZCI6ImlkX3Rva2VuX25leHRhdXRoIn0.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.O2VBgXu756jKURWAiVxsD_o865Adp8es-vZ2ueVRAK1MBJ5LiGE9qoDA1ty6xnqWEq7r3-arauIPBj2LdVJFyMmsbe7aMsR90q7D2sCZYvGTaVQlz85evMtIGCw8HQ_Co9QHpGSES7vJTtlRMG-5pSc9HHnQ0IaLWkaSuyV1jj39VK88PRWJoffGwfdXDUZnh6n7aMYdSH2Kl5TyTKdXf5ID5txa_sXNpqCVb1kFDCHA6A7_60Rok-mtXF-jofn2-CpC7XX38RIuNbM1AzFn2butJXKaGKbiQOUhhdxB0QAPfsGcKi10FmyIllkA8mZPv-5D570RC9hemkaJAfn4xQ

payload

{
  "sub": "3ec055a8-8000-44a2-8677-e70ebff414e2",
  "verified_claims": {
    "family_name": "Meredyth"
  },
  "scope": "phone management openid transfers profile verified_claims:family_name email account",
  "iss": "http://localhost:8080/67e7eae6-62b0-4500-9eff-87459f63fc66",
  "exp": 1748316259,
  "iat": 1748312659,
  "client_id": "clientSecretPost",
  "jti": "bb250761-86b4-4e94-94ee-be516e3cc916",
  "key": "value"
}

2方式が競合した場合の優先順位

claims パラメータ（OIDC4IDA 標準）と verified_claims:* スコープ（idp-server 独自仕様）の両方で verified_claims を要求し、同一の配信先（UserInfo レスポンス）に出力される場合は、claims パラメータ（標準）を優先する。両者は同じトップレベル verified_claims キーを生成するため、独自仕様のスコープ側は出力しない。claims パラメータはリクエスト単位で明示的かつ粒度の細かい標準の要求方式であり、これを正とする（両方を同時指定するクライアントは実運用では想定していない）。

UserInfo での要求方式・優先順位の詳細は UserInfo エンドポイント を参照。

身元確認チェック：required_identity_verification_scopes

required_identity_verification_scopes は、身元確認（verified_claims）を済ませたユーザーだけが取得できるスコープを定義する設定です。
CIBA（Backchannel Authentication Flow）における認証リクエストでこのスコープが含まれていた場合、ユーザーが必要な検証済みクレームを持っているかをチェックし、満たしていなければ認証エラーを返します。

条件

• CIBA 認証リクエスト（/backchannel-authentication）の scope に required_identity_verification_scopes で列挙したスコープが含まれていること
• ユーザーが該当の verified_claims を保有していること
  • verified_claims: プレフィックス付きスコープ（例：verified_claims:birthdate）は、その属性が verified であることを要求
• （オプション）業務スコープ（例：transfers）に対して、**追加の検証要件（ポリシー）**を設定している場合はその条件を満たすこと

この発行要件チェックは IDトークン / アクセストークンへの埋め込みとは独立しています（CIBA結果通知時のトークンに verified_claims を入れるかどうかは別設定）。

CIBA 認証リクエスト例

• transfers →　required_identity_verification_scopes に含める

POST /{tenant}/v1/backchannel-authentication
Content-Type: application/x-www-form-urlencoded

client_id=clientSecretPost
&scope=openid%20profile%20transfers%20verified_claims%3Abirthdate
&login_hint_token=eyJhbGciOiJSUzI1NiIsInR5cCI...
&binding_message=auth123

失敗レスポンス例

{
  "error": "access_denied",
  "error_description": "identity verification is required for requested scope(s): transfers, verified_claims:birthdate"
}

成功時の挙動

• 発行要件チェックを通過 → 通常通り CIBA 認証処理が進み、コード/トークンを発行
• 埋め込み先は別レイヤで決まる
  • IDトークン：claims パラメータ指定に従い verified_claims を id_token に含める
  • アクセストークン（独自仕様）： verified_claims: スコープが含まれている場合、該当属性のみを access_token に含める（例：verified_claims:birthdate → {"verified_claims":{"birthdate":"..."}}）

設定例（抜粋）

"extension": {
  "required_identity_verification_scopes": [
    "transfers"
  ],
  "access_token_selective_verified_claims": true
}

テストのヒント

• 未検証ユーザーで scope=openid transfers → /backchannel-authentication は access_denied、
• 検証済みユーザーで同スコープ → 成功 transfersのスコープを含めたトークンを取得できる

---

参考資料

標準仕様

• OpenID Connect for Identity Assurance 1.0 - OIDC4IDAの本仕様
• OpenID Connect IDA Verified Claims Specification 1.0 - verified_claimsの詳細仕様
• OpenID Connect Core 1.0 - OIDC基本仕様
• Client Initiated Backchannel Authentication Flow - Core 1.0 - CIBA仕様

日本語リソース

• OpenID Connect for Identity Assurance 日本語版 - OIDC4IDA日本語解説

関連ドキュメント

• 認可コードフロー - トークンへのverified_claims埋め込み詳細
• CIBA - バックチャネル認証での身元確認要求
• マルチテナント - テナント別の身元確認設定
• エンタープライズID - 企業での身元確認統合
• 身元確認申込み設定 - 外部サービス連携設定
• 身元確認結果登録 - 直接登録設定

---