Client Instance 登録API (1.0.0)

登録に使う一回限りのチャレンジと、予約された instance_id を発行します。

発行できるのは、token_endpoint_auth_method が attest_jwt_client_auth で、 extension.client_instance_registration_policy が user_bound のクライアントだけです。 未設定・未知の値のクライアントには発行しません。

レスポンスは Cache-Control: no-store を伴います。

発行済みのチャレンジ・ID トークン・登録したい公開鍵・プラットフォーム証明を提示して、 Client Instance を登録し、ID トークンの利用者に束縛します。

ID トークンについて、サーバーは次を確認します。

1. この認可サーバーが署名した JWS であること（暗号化された ID トークンは受け付けません）
2. iss がこの認可サーバーで、exp を過ぎていないこと
3. aud が登録先のクライアント、またはその client_instance_registration_clients に載ったクライアントであること
4. nonce が、チャレンジと client_instance_public_key から計算した request_hash と一致すること
5. iat がチャレンジの発行より後であること（この登録のためのログインであること）
6. sub の利用者が存在し、有効であること

プラットフォーム証明について、次の3つがすべて成立することを確認します（詳細は Attestation-Based Client Authentication）。

1. チャレンジの束縛 — 証明がこの登録のために作られたこと
2. インスタンス鍵の束縛 — 証明が client_instance_public_key を対象にしていること
3. アプリ同一性の束縛 — 証明されたアプリがこのクライアントのアプリであること

加えて証明書チェーンをピン留めしたルートまで検証し、鍵がセキュアハードウェアで 生成された署名可能な鍵であることを確認します。

同じテナントの中で、すでにいずれかのインスタンス（失効したものを含む）に登録されている鍵は登録できません。

利用者 1 人につき、クライアントごとに有効なインスタンスは 1 つです。 登録が成功すると、 同じ利用者の同じクライアントの他の有効なインスタンスは失効します（revocation_reason: superseded）。 失効したインスタンスは次のクライアント認証（リフレッシュを含む）で拒否されます。トークンは削除しないため、 発行済みのアクセストークンは有効期限まで使えます。失効したインスタンスごとにセキュリティイベント client_instance_revoked を出します。同じ利用者の登録が同時に 2 件走った場合、後の方は失敗します。

登録が済むと、このインスタンスは自分の鍵で Client Attestation JWT を自己署名できます。

レスポンスは Cache-Control: no-store を伴います。