標準のアカウントリンクをセットアップする

​

前提条件

• UCPリソースサーバーを構成し、UCPスコープを追加します。
• UCPリソースサーバーをテナントのデフォルトオーディエンスに設定します。
• 買い物客のアカウントを管理する接続を新規作成するか、既存の接続を使用します。使用できるのは、Auth0のデータベース接続、または既存のIDプロバイダーへのエンタープライズ接続です。エージェントプラットフォームがサードパーティ製アプリケーションの場合は、接続をドメインレベルに昇格する必要があります。

​

エージェントプラットフォームを登録する

1. [Dashboard] > [アプリケーション] > [アプリケーション] に移動し、[Create Application] を選択します。
2. エージェントプラットフォームのクライアントの種類に合ったアプリケーションの種類を選択します。機密クライアントの場合は [Regular Web Application] を、パブリッククライアントの場合は [Native] または [Single Page Web Application] を選択します。リダイレクトURIにはエージェントプラットフォームから提供されたものを使用し、機密クライアントの場合は、提供されたクライアント認証情報も使用します。
3. Geminiなど、自社が所有していないエージェントプラットフォームの場合は、サードパーティ製アプリケーションを作成します。[This application is owned by a third party. Enable stricter セキュリティ対策] をオンにします。Management APIを使用する場合は、is_first_party を false に設定し、third_party_security_mode: strict を指定します。

​

エージェントプラットフォームにUCPサーバーの呼び出しを認可する

1. [Dashboard] > [アプリケーション] > [APIs] に移動し、UCPリソースサーバーを選択します。
2. [Application Access] タブを選択します。
3. エージェントプラットフォームのアプリケーションを探して認可し、付与するスコープを選択します。

​

認可コードフロー

1. エージェントプラットフォームが scopes_supported メタデータを読み取り、独自の同意画面を表示します。
2. エージェントプラットフォームは、scope パラメーターを付けて、買い物客をテナントの /authorize エンドポイントにリダイレクトします。パブリッククライアントの場合は、PKCEコードチャレンジも送信します。
3. 買い物客はユニバーサルログインでサインインまたはサインアップします。サードパーティ製アプリケーションの場合は、同意画面でアクセスを承認します。
4. Auth0が認可コードを付けてリダイレクトします。
5. エージェントプラットフォームは /oauth/token でコードをアクセストークンと交換します。機密クライアントはクライアント認証情報を使って認証し、パブリッククライアントはPKCEコードベリファイアを送信します。

​

UCPサーバーを使用してファーストパーティAPIを呼び出す

• UCPリソースサーバー：エージェントプラットフォームが、認可フローで取得したアクセストークンを使用して呼び出します。
• 既存のAPI：UCPサーバーが購入者に代わって呼び出します。

​

OBO token exchange を設定する

1. UCP リソースサーバーに紐づくカスタム API クライアントを作成します。resource_server_identifier には UCP リソースサーバーの識別子を設定します。
2. カスタム API クライアントで On-Behalf-Of トークン交換を有効化します。
3. カスタム API クライアントと既存の API の間にユーザー委任型のクライアントへの認可を作成し、UCP サーバーに必要なスコープを付与します。

​

買い物客のトークンを交換する

curl --request POST \
  --url 'https://YOUR_AUTH0_DOMAIN/oauth/token' \
  --header 'Content-Type: application/json' \
  --data '{
    "grant_type": "urn:ietf:params:oauth:grant-type:token-exchange",
    "client_id": "YOUR_CUSTOM_API_CLIENT_ID",
    "client_secret": "YOUR_CUSTOM_API_CLIENT_SECRET",
    "subject_token": "UCP_ACCESS_TOKEN",
    "subject_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "requested_token_type": "urn:ietf:params:oauth:token-type:access_token",
    "audience": "https://api.acme.example.com"
  }'

​

次のステップ

• スコープ検出メタデータ
• On-Behalf-Ofトークン交換