Authentication Device API (1.0.0)
Download OpenAPI specification:Download
認証デバイスに関連する認証トランザクションの取得および、FIDO-UAF認証連携に関するAPI群。 CIBAやOAuthフローを含む認証トランザクションの一覧取得、FIDOサーバーとのチャレンジや認証処理を提供する。
認証トランザクションの取得
認証デバイスに紐づく認証トランザクション情報（フロー、スコープ、ユーザー情報など）を取得する。
デバイス認証によるレスポンス制御:
テナントの identity_policy_config.authentication_device_rule.authentication_type 設定により、
レスポンスに含まれる情報が制御されます。
| 認証設定 | contextフィールド |
説明 |
|---|---|---|
none |
含まれない | 認証なしでアクセス可能。機密情報は除外 |
access_token |
含まれる | アクセストークン認証成功後のみ詳細情報を返却 |
device_secret_jwt |
含まれる | 対称鍵JWT（HMAC）認証成功後のみ詳細情報を返却 |
private_key_jwt |
含まれる | 非対称鍵JWT（RSA/EC）認証成功後のみ詳細情報を返却 |
contextフィールドには scopes、acr_values、binding_message、authorization_details などの
認証リクエストの詳細情報が含まれるため、認証されていないデバイスには返却されません。
path Parameters
| tenant-id required | string |
| device-id required | string |
query Parameters
| id | string トランザクションID（UUID） |
| flow | string Enum: "ciba" "oauth" "fido-uaf-registration" "fido-uaf-deregistration" 認証フロー種別 |
| authorization_id | string 認可リクエストID（UUID） |
| client_id | string クライアントID |
| from | string <date-time> Example: from=2025-07-01T00:00:00 開始日時（ISO-8601形式） |
| to | string <date-time> Example: to=2025-07-15T23:59:59 終了日時（ISO-8601形式） |
| limit | integer Default: 20 最大取得件数 |
| offset | integer Default: 0 ページネーション用オフセット |
| exclude_expired | boolean Default: true 有効期限切れを除外するか |
| attributes.key | string 属性情報のオブジェクトのkeyに対する検索（keyは具体的な値に変更が必要） |
Responses
Response samples
- 200
- 400
- 401
- 429
- 500
- 503
- 504
{- "list": [
- {
- "id": "497f6eca-6276-4993-bfeb-53cbbbba6f08",
- "flow": "string",
- "tenant_id": "34f5c98e-f430-457b-a812-92637d0c6fd0",
- "tenant_attributes": { },
- "client_id": "5b3fa7ba-57d3-4017-a65b-d57dcd2db643",
- "number_matching_required": true,
- "client_attributes": {
- "client_name": "string",
- "client_uri": "string",
- "logo_uri": "string",
- "contacts": "string",
- "tos_uri": "string",
- "policy_uri": "string",
- "custom_properties": {
- "brand_color": "#0075ca",
- "support_phone": "0120-000-000"
}
}, - "context": {
- "acr_values": "string",
- "binding_message": "string",
- "scopes": "string",
- "authorization_details": [
- { }
]
}, - "user": {
- "sub": "string",
- "status": "UNREGISTERED"
}, - "authentication_device": {
- "id": "string",
- "app_name": "string",
- "platform": "string",
- "os": "string",
- "model": "string",
- "locale": "string",
- "notification_channel": "string",
- "notification_token": "string",
- "available_methods": [
- "string"
], - "priority": 0,
- "credential_type": "string",
- "credential_id": "string",
- "credential_metadata": {
- "issued_at": "2019-08-24T14:15:22Z",
- "expires_at": "2019-08-24T14:15:22Z"
}
}, - "created_at": "2019-08-24T14:15:22Z",
- "expires_at": "2019-08-24T14:15:22Z"
}
]
}認証デバイスのログ
認証デバイス（モバイルアプリ等）からのFIDO認証などの実行結果ログを受信し、アプリケーションログとして出力する。
セキュリティイベント連携:
- リクエストに
device_idまたはuser_idが含まれる場合、該当ユーザーを検索 - ユーザーが見つかった場合、セキュリティイベント
authentication_device_logを発行 - ユーザーが見つからない場合、セキュリティイベントは発行されない（ノイズ防止）
- リクエストボディ全体が
execution_resultとしてセキュリティイベントの詳細に保存される
path Parameters
| tenant-id required | string テナント識別子 |
Request Body schema: application/jsonrequired
| device_id | string 認証デバイスの識別子。 この値でユーザーを検索し、セキュリティイベントに紐づける。 |
| user_id | string <uuid> ユーザーの識別子（UUID）。
|
| event | string イベント種別（例：fido2_authentication, fido_uaf_registration） |
| status | string Enum: "success" "failure" "cancelled" 実行結果のステータス |
| timestamp | string <date-time> イベント発生日時（ISO-8601形式） |
object イベントの詳細情報（任意のキー・バリュー） |
Responses
Request samples
- Payload
{- "device_id": "device-12345-abcde",
- "event": "fido2_authentication",
- "status": "success",
- "timestamp": "2025-12-26T10:00:00Z",
- "details": {
- "authenticator_type": "platform",
- "user_verification": true
}
}Response samples
- 400
- 429
- 500
- 503
- 504
{- "error": "invalid_request",
- "error_description": "user is not found or invalid password"
}認証トランザクションのキャンセル
進行中の認証トランザクションをユーザーがキャンセルする。 キャンセル後、トランザクションは無効化され、認証フローは中断される。
- OAuth/CIBAフローでの認証拒否
- ユーザーによる明示的なキャンセル操作
- セキュリティイベント
authentication_cancel_successが生成される
path Parameters
| tenant-id required | string テナント識別子 |
| id required | string <uuid> 認証トランザクションID |
Request Body schema: application/jsonoptional
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 404
- 429
- 500
- 503
- 504
{ }ナンバーマッチングコードの検証
認可コードフローのデバイス認証（FIDO-UAF step-up）で、サインイン画面に表示された ナンバーマッチングコードをユーザーが認証デバイスに転記し、その値を検証する（push fatigue 対策）。
- コードはサインイン画面側の
authentication-device-number-matching-challengeで発行され、 サーバーに保存される。認証デバイス向けの API・プッシュ通知には含まれない - 認証デバイスは、認証トランザクション取得APIのレスポンスの
number_matching_requiredがtrueのときに入力画面を表示し、この API で検証する - 検証成功後に FIDO-UAF 認証（
fido-uaf-authentication-challenge→fido-uaf-authentication）へ進む - 不一致は
$.authentication-device-number-matching.failure_countに積算される。 この API は認証なしで到達できるため、認証ポリシーのfailure_conditions/lock_conditionsで試行回数の上限を設けること（同梱テンプレートは 5 回）。残り試行回数はこの API からは取得できない - セキュリティイベント
authentication_device_number_matching_success/authentication_device_number_matching_failureが生成される
認可リクエストのIDを持つサインイン画面側からは
POST /{tenant-id}/v1/authorizations/{id}/authentication-device-number-matching でも同じ検証に到達するが、
認証デバイスは認可リクエストのIDを取得できないため、デバイス実装ではこの API を使う。
path Parameters
| tenant-id required | string テナント識別子 |
| id required | string <uuid> 認証トランザクションID（認証トランザクション取得APIの |
Request Body schema: application/jsonrequired
| number_matching_code required | string ユーザーがサインイン画面から転記したコード。数字のみ。
桁数は認証設定 |
Responses
Request samples
- Payload
{- "number_matching_code": "4821"
}Response samples
- 200
- 400
- 404
- 429
- 500
- 503
- 504
{ }認証デバイスによる認証の拒否
認証デバイス上でユーザーが認証要求を明示的に拒否する（「これは自分の操作ではない」）。
authentication-cancelと同じく DENY 種別のインタラクションとして記録され、 認証ポリシーにfailure_conditionsが定義されていれば認証ステータスはfailureになるauthentication-cancel（操作の中断）との違いは監査上の意味とセキュリティイベント名のみ- セキュリティイベント
authentication_device_deny_successが生成される
path Parameters
| tenant-id required | string テナント識別子 |
| id required | string <uuid> 認証トランザクションID |
Request Body schema: application/jsonoptional
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 404
- 429
- 500
- 503
- 504
{ }FIDO-UAF 登録チャレンジ
FIDOサーバーから取得したチャレンジ情報をそのまま返却する。
セキュリティ制約:
- ユーザーが認証済みである必要があります（未認証の場合は401 Unauthorized）
- 認証ポリシーに
device_registration_conditionsが設定されている場合、 その条件を満たす必要があります（満たさない場合は403 Forbidden）
path Parameters
| tenant-id required | string |
| id required | string |
Request Body schema: application/jsonrequired
FIDOサーバーの仕様に沿った任意のリクエストボディ
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 401
- 403
- 404
- 429
- 500
- 503
- 504
{ }FIDO-UAF 登録
クライアントから送信されたFIDO応答を受け取り、登録を完了させる。
セキュリティ制約:
- ユーザーが認証済みである必要があります（未認証の場合は401 Unauthorized）
- 認証ポリシーに
device_registration_conditionsが設定されている場合、 その条件を満たす必要があります（満たさない場合は403 Forbidden）
path Parameters
| tenant-id required | string |
| id required | string |
Request Body schema: application/jsonrequired
FIDOサーバーの仕様に沿った任意のリクエストボディ
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 401
- 403
- 404
- 429
- 500
- 503
- 504
{- "device_id": "string"
}FIDO-UAF 認証チャレンジ
FIDOサーバーから取得したチャレンジ情報をそのまま返却する。
path Parameters
| tenant-id required | string |
| id required | string |
Request Body schema: application/jsonrequired
FIDOサーバーの仕様に沿った任意のリクエストボディ
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 404
- 429
- 500
- 503
- 504
{ }FIDO-UAF 認証
クライアントから送信されたFIDO応答を受け取り、認証を完了させる。
path Parameters
| tenant-id required | string |
| id required | string |
Request Body schema: application/jsonrequired
FIDOサーバーの仕様に沿った任意のリクエストボディ
Responses
Request samples
- Payload
{ }Response samples
- 400
- 404
- 429
- 500
- 503
- 504
{- "error": "invalid_request",
- "error_description": "user is not found or invalid password"
}FIDO-UAF 解除
クライアントから送信されたFIDO応答を受け取り解除を完了させる。
セキュリティ制約:
- ユーザーが認証済みである必要があります（未認証の場合は401 Unauthorized）
- 認証ポリシーに
device_registration_conditionsが設定されている場合、 その条件を満たす必要があります（満たさない場合は403 Forbidden）
path Parameters
| tenant-id required | string |
| id required | string |
Request Body schema: application/jsonrequired
FIDOサーバーの仕様に沿った任意のリクエストボディ
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 401
- 403
- 404
- 429
- 500
- 503
- 504
{ }FIDO-UAF認証のキャンセル
FIDO-UAF認証処理をユーザーがキャンセルする。 デバイス側での認証処理を中断し、トランザクションを無効化する。
- FIDO-UAF認証フローでの明示的なキャンセル
- デバイス認証の中断
- セキュリティイベント
authentication_cancel_successが生成される
path Parameters
| tenant-id required | string テナント識別子 |
| id required | string <uuid> 認証トランザクションID |
Request Body schema: application/jsonoptional
Responses
Request samples
- Payload
{ }Response samples
- 200
- 400
- 404
- 429
- 500
- 503
- 504
{ }