リソースオーナー用API (1.0.0)

ユーザー（リソースオーナー）自身の削除を行う。

FIDO-UAFなどの登録要求の依頼を行う。

認証デバイスの属性情報の部分更新の依頼を行う。

認証済みユーザーのパスワードを変更します。

このAPIは以下の手順でパスワード変更を行います：

1. 現在のパスワードの検証
2. 新しいパスワードのポリシー検証（テナント設定に基づく）
3. パスワードの更新
4. セキュリティイベントの発行（password_change_success/password_change_failure）

パスワードポリシー

テナントごとに以下のポリシーを設定可能（identity_policy_config.password_policy）：

• min_length: 最小文字数（デフォルト: 8）
• require_uppercase: 大文字必須（デフォルト: false）
• require_lowercase: 小文字必須（デフォルト: false）
• require_digit: 数字必須（デフォルト: false）
• require_special_char: 記号必須（デフォルト: false）

デフォルトポリシーはNIST SP 800-63Bの推奨に従い、最小8文字のみを要求します。

セキュリティイベント

パスワード変更の成功・失敗時に以下のセキュリティイベントが発行されます：

• password_change_success: パスワード変更成功時
• password_change_failure: パスワード変更失敗時（検証エラー等）

参考実装

• Microsoft Graph API: changePassword
• Okta Users API: Change Password

セルフサービスでパスワードをリセットします。

認可フロー

このAPIは特別なスコープ password:reset が必要です。 通常のログインフローではなく、以下の手順で取得します：

1. Email認証フローで認可リクエスト開始（scope=password:reset）
2. Email認証チャレンジで検証コード送信
3. Email認証検証でユーザー認証
4. 認可コード取得
5. トークンエンドポイントで password:reset スコープ付きアクセストークン取得
6. このAPIでパスワードリセット実行

password/change との違い

重要: このAPIは現在のパスワードを必要としません。代わりに、Email認証などの別の認証方式で取得した password:reset スコープ付きトークンを使用します。

パスワードポリシー

テナントごとに以下のポリシーを設定可能（identity_policy_config.password_policy）：

• min_length: 最小文字数（デフォルト: 8）
• require_uppercase: 大文字必須（デフォルト: false）
• require_lowercase: 小文字必須（デフォルト: false）
• require_number: 数字必須（デフォルト: false）
• require_special_char: 記号必須（デフォルト: false）

デフォルトポリシーはNIST SP 800-63Bの推奨に従い、最小8文字のみを要求します。

セキュリティイベント

パスワードリセットの成功・失敗時に以下のセキュリティイベントが発行されます：

• password_reset_success: パスワードリセット成功時
• password_reset_failure: パスワードリセット失敗時（ポリシー違反等）

参考

• Issue #1002: Self-service password reset using email authentication
• NIST SP 800-63B

指定された verification-type（テンプレート種別）および verification-process（申込み処理タイプ）に従い、 身元確認申込みの初期リクエストを実行します。

レスポンスに後続で利用するidが返却されます。

このAPIは、あらかじめ Control Plane API により定義されたテンプレートに基づいて外部サービスに対して申請データを送信し、 審査プロセスの開始またはeKYCプロセスの起動を行います。

• verification-type はテンプレートの type に対応
• verification-process はテンプレート内の processes のキーに対応（例: apply, request-ekyc など）

リクエストボディはテンプレートで定義された request.schema に基づいてバリデーションされ、 必須項目の漏れや形式の不正がある場合はエラーになります。

正常に処理された場合は、response.body_mapping_rules に従いレスポンスを返却します。

身元確認の申込みの一覧を取得する。

既存の身元確認申込み（application）に対して、定義済みテンプレートおよびプロセスに従った後続の処理を実行します。

このAPIは、初回申込み（apply等）によって発行された申込みID（id）を指定し、 対象となる申込みに対して、eKYC完了通知・審査要求・外部サービスとの再連携などのアクションを柔軟に実行可能です。

• verification-type はテンプレートの type に対応
• id は既存の申込みIDを指定
• verification-process はテンプレートの processes 内で定義された処理（例: complete-ekyc, callback-result）

リクエストボディは、該当プロセスで必要とされる request.schema に基づいてバリデーションされ、 外部サービスとの連携や verified_claims 登録等が自動的に実行されます。

正常に処理された場合は、response.body_mapping_rules に従いレスポンスを返却します。

身元確認結果の一覧を取得します。