VMware Cloud Director での PKCE の有効化

VMware Cloud Director バージョン 10.5 以降では、Proof Key for Code Exchange (PKCE) がサポートされます。

PKCE は、CSRF および認証コードのインジェクション攻撃を防ぐために使用される OAuth 2.0 認証コード フローの拡張機能です。詳細については、OAuth 2.0 のドキュメントの「Proof Key for Code Exchange」を参照してください。

OAuth 構成に VMware Cloud Director API を使用する方法の詳細については、「VMware Cloud Director API」および「Configuring and Managing Federation with OAuth」を参照してください。

前提条件

OpenID Connect ID プロバイダを使用するようにシステムを構成したことを確認します。 VMware Cloud Director Service Provider Admin Portal を使用してシステムでの OpenID Connect ID プロバイダの使用を有効化を参照してください。

手順

1. 要求を実行して、組織の設定を取得します。

   GET https://vcloud.example.com/api/admin/org/organization_id/settings/oauth

   応答には、組織の OAuth 設定が含まれています。
2. OrgOAuthSettings の下で、次の変更を行います。
   1. usePkce 要素を true に変更します。
   2. （オプション） アクセス トークンを取得する API 要求を行うときに、クライアント認証情報を認証ヘッダーとして送信するよう ID プロバイダから求められる場合は、sendClientCredentialsAsAuthorizationHeader 要素を true に変更します。
      デフォルトの動作では、クライアント認証情報を API 要求の本文で送信します。
3. 変更を加えて OAuth 設定を更新するには、PUT 要求を実行します。

   PUT https://vcloud.example.com/api/admin/org/organization_id/settings/oauth

   要求の本文に、OAuth 設定の変更された要素を含めてください。