Back-Channel Logout

PocketSign Link v2 は OpenID Connect Back-Channel Logout 1.0 に対応しています。 v2 側でセッションが終了したとき、登録済みの backchannel_logout_uri に対して Logout Token を POST することで、サービスにログアウトを通知します。

いつ通知されるか

次のいずれかが発生したとき、PocketSign Link v2 は対象クライアントの backchannel_logout_uri に Logout Token を POST します。

ユーザーが PocketSign Link v2 からログアウトした
セッションタイムアウトによりセッションが失効した
ユーザーがマイページの端末管理画面からログイン中端末の削除・ログアウト操作を行った

全体の流れ

Logout Token

PocketSign Link v2 が RP に送る Logout Token は、署名付き JWT です。署名検証に使う公開鍵は、ID トークンと同じく jwks_uri から取得できます。

リクエスト形式

PocketSign Link v2 は backchannel_logout_uri に対して、次の形式で POST します。

POST /backchannel-logout HTTP/1.1
Host: rp.example.com
Content-Type: application/x-www-form-urlencoded

logout_token=<signed_jwt>

主なクレーム

クレーム	説明
`iss`	Issuer。ID トークンの `iss` と同じ
`sub`	サービスごとのサブスクリプション ID。ID トークンの `sub` と同じ
`aud`	クライアント ID
`iat`	発行時刻
`jti`	Logout Token の一意識別子
`events`	`{"http://schemas.openid.net/event/backchannel-logout": {}}` を含む
`sid`	RP ごとのクライアントセッション ID。ID トークンの `sid` と対応する

PocketSign Link v2 では sub と sid の両方が常に含まれます。

Logout Token に含まれないもの

nonce は含まれません。Logout Token に nonce が含まれていた場合は、不正なトークンとして拒否してください。

RP 側の実装

`sid` の保持

サービスは、ログイン時に受け取った ID トークンの sid を自身のセッションと紐づけて保持してください。 Back-Channel Logout 通知を受けたとき、Logout Token の sid と一致するセッションを特定して無効化するために必要です。

Logout Token の検証

Logout Token を受け取ったら、以下を検証してください。

署名が jwks_uri の鍵で検証できること
iss が想定した PocketSign Link v2 の Issuer であること
aud に自分の client_id が含まれること
iat が許容可能な時間範囲内であること
events に http://schemas.openid.net/event/backchannel-logout が含まれること
nonce が含まれていないこと
jti が未処理であること（リプレイ防止）

セッション無効化

検証に成功したら、Logout Token の sid に対応するサービス側のセッションを無効化してください。

sub も含まれるため、sid だけでなく sub も照合に使うとより安全です。

レスポンス

状況	HTTP ステータス
ログアウト処理成功	`200 OK`
Logout Token の検証失敗	`400 Bad Request`

レスポンスには Cache-Control: no-store ヘッダーを付けてください。レスポンスボディは空で構いません。

トークンへの影響

Back-Channel Logout は セッション終了の通知 であり、PocketSign Link v2 側でトークンを失効する操作ではありません。

サービスは、Logout Token を受けて自身のセッションを無効化した後、必要に応じて POST /api/oidc/v1/revoke で手動でトークンを失効してください。

クライアント設定

Back-Channel Logout を使うには、クライアント設定で backchannel_logout_uri を登録する必要があります。

設定項目	説明
`backchannel_logout_uri`	PocketSign Link v2 が Logout Token を POST する先の URI

要件

HTTPS であること
PocketSign Link v2 からネットワーク到達可能であること
backchannel_logout_uri が未設定のクライアントには通知されません

Discovery

PocketSign Link v2 の Discovery Document (/.well-known/openid-configuration) には、以下が含まれます。

フィールド	値
`backchannel_logout_supported`	`true`
`backchannel_logout_session_supported`	`true`

backchannel_logout_session_supported が true であるため、Logout Token には常に sid が含まれます。

実装チェックリスト

ログイン時に ID トークンの sid を自分のセッションに保存する
backchannel_logout_uri に POST を受け付けるエンドポイントを用意する
Logout Token の署名、iss、aud、iat、events、jti を検証する
nonce が含まれていたら拒否する
jti を一定時間記録してリプレイを防止する
sid に対応するセッションを無効化する
レスポンスに Cache-Control: no-store を付ける
必要に応じて revoke でトークンを失効する

いつ通知されるか​

全体の流れ​

Logout Token​

リクエスト形式​

主なクレーム​

Logout Token に含まれないもの​

RP 側の実装​

sid の保持​

Logout Token の検証​

セッション無効化​

レスポンス​

トークンへの影響​

クライアント設定​

要件​

Discovery​

実装チェックリスト​

関連ページ​