@studio-design/studio-auth-node 0.8.1-rc.116 → 0.8.1-rc.118
This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
|
@@ -87,7 +87,7 @@ export declare const initiateAuthorization: <ThrowOnError extends boolean = fals
|
|
|
87
87
|
* IdP が組織を返さないログイン（Google / password / magic link 等）で `/oauth/authorize` に
|
|
88
88
|
* `organization_id` が指定されていた場合、認可コード発行前にその組織の active メンバーで
|
|
89
89
|
* あることを検証します。非メンバーだった場合は認可コードを発行せず、クライアントの
|
|
90
|
-
* redirect_uri へ `error=access_denied` を返します。
|
|
90
|
+
* redirect_uri へ `error=access_denied` と `error_reason=organization_membership_denied` を返します。
|
|
91
91
|
*
|
|
92
92
|
* 認可リクエストに `max_age` が保存されていた場合、IdP から取得した能動認証時刻がこれを
|
|
93
93
|
* 満たすか検証します。この認可フロー開始後に能動認証した場合は、経過秒数にかかわらず
|
|
@@ -75,7 +75,7 @@ export const initiateAuthorization = (options) => (options.client ?? client).get
|
|
|
75
75
|
* IdP が組織を返さないログイン（Google / password / magic link 等）で `/oauth/authorize` に
|
|
76
76
|
* `organization_id` が指定されていた場合、認可コード発行前にその組織の active メンバーで
|
|
77
77
|
* あることを検証します。非メンバーだった場合は認可コードを発行せず、クライアントの
|
|
78
|
-
* redirect_uri へ `error=access_denied` を返します。
|
|
78
|
+
* redirect_uri へ `error=access_denied` と `error_reason=organization_membership_denied` を返します。
|
|
79
79
|
*
|
|
80
80
|
* 認可リクエストに `max_age` が保存されていた場合、IdP から取得した能動認証時刻がこれを
|
|
81
81
|
* 満たすか検証します。この認可フロー開始後に能動認証した場合は、経過秒数にかかわらず
|
|
@@ -2173,7 +2173,7 @@ export type Resource = string;
|
|
|
2173
2173
|
*
|
|
2174
2174
|
* IdP リダイレクトを伴うフローでは、指定された組織は組織固有の SSO プロバイダ（Okta, Azure AD 等）へのルーティングに使用されます。存在しない、非アクティブ、または IdP 未連携の組織 ID を指定した場合はエラーになります。
|
|
2175
2175
|
*
|
|
2176
|
-
* IdP が組織を返さないログイン（Google / password / magic link 等）では、認証したユーザがこの組織の active メンバーであることをコールバック時に検証します（メンバーシップは認証が完了して初めて判定できるため、`/oauth/authorize` の時点では検証できません）。非メンバーだった場合は認可コードを発行せず、redirect_uri へ `error=access_denied` を返します。前回のセッションから引き継いだ組織 ID を指定している場合は、それを破棄して `organization_id` 無しで再試行してください。IdP が組織を返すログイン（組織の SSO 接続経由）ではこの検証は行われず、IdP が返した組織が `org_id` クレームの根拠になります。
|
|
2176
|
+
* IdP が組織を返さないログイン（Google / password / magic link 等）では、認証したユーザがこの組織の active メンバーであることをコールバック時に検証します（メンバーシップは認証が完了して初めて判定できるため、`/oauth/authorize` の時点では検証できません）。非メンバーだった場合は認可コードを発行せず、redirect_uri へ `error=access_denied` と `error_reason=organization_membership_denied` を返します。前回のセッションから引き継いだ組織 ID を指定している場合は、それを破棄して `organization_id` 無しで再試行してください。IdP が組織を返すログイン（組織の SSO 接続経由）ではこの検証は行われず、IdP が返した組織が `org_id` クレームの根拠になります。
|
|
2177
2177
|
*
|
|
2178
2178
|
* 有効なセッションがあっても、そのセッションがこの組織で認証されたもの（ログイン時に IdP がこの組織を示したもの）でなければ、セッションを再利用せず、この組織を指定して IdP で認証し直させます。組織ごとの認証ポリシー（MFA の必須化など）は IdP 側にあり、別の組織で認証したセッションには適用されていないためです。`prompt=none` の場合は `error=login_required` を返します。
|
|
2179
2179
|
*
|
|
@@ -2542,7 +2542,7 @@ export type InitiateAuthorizationData = {
|
|
|
2542
2542
|
*
|
|
2543
2543
|
* IdP リダイレクトを伴うフローでは、指定された組織は組織固有の SSO プロバイダ（Okta, Azure AD 等）へのルーティングに使用されます。存在しない、非アクティブ、または IdP 未連携の組織 ID を指定した場合はエラーになります。
|
|
2544
2544
|
*
|
|
2545
|
-
* IdP が組織を返さないログイン（Google / password / magic link 等）では、認証したユーザがこの組織の active メンバーであることをコールバック時に検証します（メンバーシップは認証が完了して初めて判定できるため、`/oauth/authorize` の時点では検証できません）。非メンバーだった場合は認可コードを発行せず、redirect_uri へ `error=access_denied` を返します。前回のセッションから引き継いだ組織 ID を指定している場合は、それを破棄して `organization_id` 無しで再試行してください。IdP が組織を返すログイン（組織の SSO 接続経由）ではこの検証は行われず、IdP が返した組織が `org_id` クレームの根拠になります。
|
|
2545
|
+
* IdP が組織を返さないログイン（Google / password / magic link 等）では、認証したユーザがこの組織の active メンバーであることをコールバック時に検証します（メンバーシップは認証が完了して初めて判定できるため、`/oauth/authorize` の時点では検証できません）。非メンバーだった場合は認可コードを発行せず、redirect_uri へ `error=access_denied` と `error_reason=organization_membership_denied` を返します。前回のセッションから引き継いだ組織 ID を指定している場合は、それを破棄して `organization_id` 無しで再試行してください。IdP が組織を返すログイン（組織の SSO 接続経由）ではこの検証は行われず、IdP が返した組織が `org_id` クレームの根拠になります。
|
|
2546
2546
|
*
|
|
2547
2547
|
* 有効なセッションがあっても、そのセッションがこの組織で認証されたもの（ログイン時に IdP がこの組織を示したもの）でなければ、セッションを再利用せず、この組織を指定して IdP で認証し直させます。組織ごとの認証ポリシー（MFA の必須化など）は IdP 側にあり、別の組織で認証したセッションには適用されていないためです。`prompt=none` の場合は `error=login_required` を返します。
|
|
2548
2548
|
*
|