APIチュートリアル：認証を取得する ORCID iD

チュートリアルでは、認証する手順について説明します ORCID iD。それはどちらかを使用して完了することができます公共 or メンバーAPI。検証済みを取得する手順を確認します ORCID iDは、システムのデータベースに保存できます。 3つのオプションがあります。XNUMXつのレッグOAuth（長期間有効な更新アクセス許可用）と暗黙的なOAuth（読み取り専用の短期アクセス許可用）です。

Contents [show]

1. クライアントの資格情報を取得する

2. リダイレクトURLを登録する

3. OAuthを実装する

クライアントの資格情報を取得する

クライアントのクレデンシャルは、アプリケーション/ウェブサイトがアクセスするために使用するユーザー名とパスワードです。 ORCID API。誰でも読み取り専用のパブリックAPIクレデンシャルに登録できます。 ORCID メンバーはメンバーAPIに登録できます。

パブリックAPIクライアントを登録するにはどうすればよいですか？

開発者は、パブリックAPIをテストすることをお勧めします。サンドボックステストサーバー製品版を使用する前に。以下は、サンドボックス環境と本番環境の両方でパブリックAPIクレデンシャルを登録する方法の手順です。

あなたにサインインします ORCID 記録：
本番サーバー： https://orcid.org/signin
サンドボックステストサーバー： https://sandbox.orcid.org/signin
右上隅にあるあなたの名前をクリックしてください
ナビゲーションヘッダーの 開発者ツール メニューオプションから
注意： 開発者ツールにアクセスするには、メールアドレスを確認する必要があります。メールアドレスをまだ確認していない場合は、この時点で確認するように求められます。
「無料で登録」をクリックします ORCID パブリックAPI」ボタン

プロンプトが表示されたら、利用規約を確認して同意します。

アプリケーションを登録する

利用規約に同意すると、開発者ツールに戻ります（https://orcid.org/developer-tools or https://sandbox.orcid.org/developer-tools）。提示されたフォームに記入して、新しいアプリケーションを登録します。
- お名前：アプリケーションの名前。これは、ユーザーがアプリケーションにユーザーを取得する権限を付与したときに表示されます ORCID iD、そしてそれは彼らに表示されます 信頼できる組織リスト。組織またはサービスの名前（ジャーナル名など）を使用することをお勧めします。
- Website：ユーザーがアプリケーションの詳細を確認するためにアクセスできるWebサイト。これは彼らに表示されます 信頼できる組織リスト.
- 商品の説明：開発中のアプリケーションとユーザーの使用方法に関する情報 ORCID iD。これは、OAuth画面でユーザーに表示されます。

URIをリダイレクトする：OAuth 2.0プロトコルで使用するURI —これらは、クライアントにユーザーの取得を許可した後にユーザーが送信される場所です。 ORCID iD。

パブリックAPIアプリケーションには、少なくとも2つのリダイレクトURIが登録されている必要があり、URIはhttpsで始まる必要があります。テストの場合、[リダイレクトURIのテスト]の下にある[+ Google OAuthXNUMX Playground]をクリックするか、[+ Google OAuthXNUMX Playground]をクリックして、Google OAuth PlaygroundURIを自動的に追加できます。 ORCID 「+」をクリックしてパブリックAPISwaggerORCID パブリックSwaggerインターフェイス」。
詳細については、を参照してください。リダイレクトURIについて。
フォームの下部にある[保存]アイコンをクリックして、APIクレデンシャルを生成します。

APIクレデンシャルを表示するには、[詳細を表示]をクリックします。

APIクレデンシャル–クライアント ID およびクライアントシークレット–リダイレクトURIのすぐ下に表示されます。クレデンシャルの下には、クレデンシャルが事前に入力されたサンプルURLとAPI呼び出しがあります。

クレデンシャルを使用する

クレデンシャルを取得したので、次は ORCID パブリックAPI！

Sandbox Member APIにテストクライアントを登録するにはどうすればよいですか？

また、ご購読はいつでも停止することが可能ですサンドボックスメンバーAPIクレデンシャルをリクエストするアプリケーションをビルドしてテストします。これらのクレデンシャルを使用すると、サンドボックスメンバーAPIを呼び出して、読み取り、書き込み、更新を行うことができます。 ORCID 記録。サンドボックステスト環境へのアクセスは、あなたがそうでなくても、誰でも自由に利用できます。 ORCID メンバー組織。

注意：すでにサポートしているサードパーティシステムを使用している場合 ORCID、サンドボックスAPIクレデンシャルを登録する必要がない場合があります。

サンドボックスを使用すると、ライブ（本番）のデータに影響を与えることを心配することなく、テストユーザーアカウントを作成して統合を開発できます。 ORCID レジストリ。サンドボックスは本番環境と同じように動作します ORCID とのレジストリいくつかの例外.

テストアカウントの作成

情報の読み取りや追加など、ORCDAPIおよびAPI呼び出しをテストするため ORCID 記録するには、テストも作成する必要があります ORCID サンドボックスに記録します。これは、本番環境と同様に、ユーザーインターフェイスを介して実行できます。 ORCID レジストリ。に移動 https://sandbox.orcid.org/register アカウントに登録します。

サンドボックスサーバーは、通知メールをにのみ送信します Mailinator （@ mailinator.com）意図せずにメールサーバーにスパムを送信しないための電子メールアドレス。 @ mailinator.comアドレスを使用しない限り、確認メールまたはパスワードリセット通知を受信しません。サンドボックスレコードを手動で編集するには、確認が必要です。使用したくない場合 Mailinator アドレスを入力し、ユーザー名とパスワードをメモしてください（テスト時にアプリケーションに認証を付与するために使用するため）。確認のサポートをリクエストするには、お問い合わせください。

Mailinator によって管理または維持されていない無料のサービスです ORCID。これらのアドレスを使用する前に、このサービスの動作と制限を確認することをお勧めします。

リダイレクトURLを登録する

サインインすると、クライアントの登録の一部として指定したURLにユーザーが送信されます。

リダイレクトURIはどのように機能しますか？

リダイレクトURIをクライアントの資格情報に登録するためのさまざまなオプションがあります。その点に注意してくださいを本番クレデンシャルのリダイレクトURIはhttpsである必要があります。

すべてのリダイレクトURIを完全に登録する
これは登録フォームで推奨されていることであり、ほとんどのサードパーティが行っていることです。

ホスト名だけを登録する
クライアントアプリがホスト名だけのリダイレクトURIで登録されている場合、そのホストの任意のリダイレクトURIを使用できます。したがって、たとえば、次のリダイレクトURIが登録されている場合： https://thirdparty.com

その後、次のすべてのredirect_urisが機能します。

https://thirdparty.com/oauth/callback1
https://thirdparty.com/callback2
https://thirdparty.com/anything-else-as-long-as-the-host-is-the-same

このアプローチが有効であると判断した場合は、ドメインのXNUMXつにすべてのリダイレクトURIを登録してから、適切なドメインに再度リダイレクトすることで、URIを処理できます。

リダイレクトURIをまったく登録しない （サンドボックスのみ）
クライアントアプリがredirect_urisなしで構成されている場合は、任意のredirect_uriを使用できます。これは、redirect_urisを指定するよりも安全性が低くなります。 redirect_urisは、誰かが他人の盗んだクライアント資格情報を使用するのを防ぐため、セキュリティをさらに強化します（ドメインにリダイレクトすることは決してないため、ユーザーのDNSを制御して回避する必要があります）。潜在的なリスクがあるため、SandboxAPIでのみこのオプションを許可します。

クレデンシャルを登録するときに、リダイレクトURIを登録したくない場合は、「リダイレクトURIなし」をメモフィールドに入力します。

メンバーAPIを使用していて、リダイレクトURIの変更が必要な場合は、エンゲージメントチームにお問い合わせください。

リダイレクトは、OAuthコード交換の一部としてのオプションのデータであることに注意してください。リダイレクトURIが含まれている場合は、認証URLで使用されたものと完全に一致する必要があります。詳細については、他のを参照してくださいこのカテゴリのFAQ.

OAuthを実装する

以下では、によってサポートされるOAuthのXNUMXつの「フレーバー」について説明します。 ORCID。ほとんどのプログラミング言語では、統合を容易にするOAuthおよび/またはOpenIDライブラリを利用できます。

3本足のOAuth

これは、ユーザーを認証するための標準的な方法です。 ORCID iD 認証済みの更新権限と一緒に長期間有効な更新権限を取得するために使用できます ORCID iD。

「3本足のOAuth」はどのように機能しますか？

ORCID 統合では、「3レッグOAuth」を使用してユーザーを認証し、ユーザーのレコードを操作するための許可を要求します。どの統合でも、パブリックAPIを使用して読み取り権限を要求できます。 ORCID メンバーは、Member APIを使用して、更新権限を要求できます。それはこのように動作します：

特別なリンクを作成します
クリックすると、ユーザーはに送信されます ORCID
- ORCID ユーザーにサインインするように求めます
- ORCID アプリケーションに権限を付与するようにユーザーに要求します
- ORCID 認証コードを使用してユーザーをシステムに送り返します
システムはそのコードをアクセストークンと交換します

カスタマイズされた認証URLには、クライアント情報と、アクセスするレコードの特定の領域を指定する「スコープ」が含まれます。サインイン後、ユーザーはシステムとの接続を承認し、承認コードとともにランディングページに戻ります。次に、このコードを使用して、 ORCID iD 要求されたスコープに有効なアクセストークンとともに。

認証リンクを作成し、認証コードを取得してください

APIクレデンシャルのクライアントを指定して認証リンクを構築します ID および関連するランディングページ（リダイレクトURI）。設定することにより、要求する権限を選択しますスコープパラメータ.

以下の例では、アクセスが制限されたデータを読み取る許可を要求しています。 ORCID サンドボックステストサーバー。現実の世界では、このリンクをWebサイトに表示するか、ユーザーに認証と承認を求めるときに電子メールに含めます。ただし、テストの目的で、Webブラウザに貼り付けるだけで済みます。角かっこで囲まれたデータをクライアント情報に置き換え、角かっこは必ず削除してください。

https://sandbox.orcid.org/oauth/authorize?client_id=[Your client ID]&response_type=code&scope=/read-limited&redirect_uri=[Your landing page]

ユーザーがリンクをクリックし、でサインインした場合 ORCID 付与されたアクセス許可は、次のようにサイトにリダイレクトされます。

https://[Your landing page]?code=Q70Y3A

認証コードを ORCID iD およびアクセストークン

すぐに認証コードを交換する必要があります ORCID iD およびアクセストークン。認証コードは使用時に期限切れになります。リクエストは次のようになり、 Webブラウザでは作成できません、サーバーで作成する必要があります。

 URL=https://sandbox.orcid.org/oauth/token
  HEADER: Accept: application/json
  HEADER: Content-Type: application/x-www-form-urlencoded
  METHOD: POST
  DATA: 
    client_id=[Your client ID]
    client_secret=[Your client secret]
    grant_type=authorization_code
    code=Six-digit code
    redirect_uri=[Your landing page]

ORCID その後、研究者の認証済みを返します ORCID iD およびJSON形式のアクセストークン：

{"access_token":"f5af9f51-07e6-4332-8f1a-c0c11c1e3728","token_type":"bearer",
"refresh_token":"f725f747-3a65-49f6-a231-3e8944ce464d","expires_in":631138518,
"scope":"/read-limited","name":"Sofia Garcia","orcid":"0000-0001-2345-6789"}

アクセストークンはデフォルトで長期間有効であり、発行後20年で有効期限が切れます。トークンは、有効期限が切れる前に複数回使用できます。

アクセストークンを使用する

3本足のアクセストークンは特定のものにリンクされています ORCID 記録。それらを使用するには、そのレコードを読み取ったり更新したりするために行うAPIリクエストにそれらを含めます。

暗黙的なOAuth

これは、ユーザーを認証するブラウザ中心の方法です。 ORCID iD 更新権限を必要としないブラウザベースのアプリケーションで使用します。

暗黙的なOAuthはどのように機能しますか？

Implicit OAuthは、サーバー側のコンポーネントを持たない、または使用したくないシステムで使用するように設計された、軽量バージョンのOAuthです。暗黙的なOAuthは、JavaScriptのみを使用してブラウザーに完全に実装できます。メンバーと非メンバーが利用でき、次のように機能します。

特別なリンクを作成します
クリックすると、ユーザーはに送信されます ORCID
- ORCID ユーザーにサインインするように求めます
- ORCID アプリケーションに権限を付与するようにユーザーに要求します
- ORCID ユーザーをシステムに送り返します ORCID iD、アクセストークン、および id トークン。
システムは認証済みを抽出して保存します ORCID iD 応答から。

セキュリティ上の理由から、暗黙的なOAuthを使用する場合、 ORCID 更新権限を持つアクセストークンは返されません。

暗黙のフロー

暗黙的なフローは、クライアントが開始するために秘密鍵を使用する必要がないように設計されています ORCID サインインします。セキュリティは、クライアントを登録済みのredirect_urlsに制限することで実施されます。この低レベルのセキュリティは、 ORCID 暗黙的なフローを使用する場合は、/ authenticateスコープとopenidスコープのみをサポートします。トークンも短命で、寿命は10分です。このフローは、電話アプリケーションや単一ページのJavaScript Webアプリなど、バックエンドサーバーにアクセスできないクライアント側アプリケーションに推奨されます。

https://localhost/#access_token=24c11342-f5da-4cf9-94a4-f8a72a30da00&token_type=bearer&expires_in=599&tokenVersion=1&persistent=false&id_token=eyJraWQiOiJxYS1vcmNpZC1vcmctcjlhZmw3cWY2aGNnN2c5bmdzenU1bnQ3Z3pmMGVhNmkiLCJhbGciOiJSUzI1NiJ9.eyJhdF9oYXNoIjoiMW52bXZBbVdwaVd0Z3ZKZW1DQmVYUSIsImF1ZCI6IkFQUC02TEtJSjNJNUIxQzRZSVFQIiwic3ViIjoiMDAwMC0wMDAyLTUwNjItMjIwOSIsImF1dGhfdGltZSI6MTUwNTk4Nzg2MiwiaXNzIjoiaHR0cHM6XC9cL29yY2lkLm9yZyIsIm5hbWUiOiJNciBDcmVkaXQgTmFtZSIsImV4cCI6MTUwNTk4ODQ2MywiZ2l2ZW5fbmFtZSI6IlRvbSIsImlhdCI6MTUwNTk4Nzg2Mywibm9uY2UiOiJ3aGF0ZXZlciIsImZhbWlseV9uYW1lIjoiRGVtIiwianRpIjoiY2U0YzlmNWUtNTBkNC00ZjhiLTliYzItMmViMTI0ZDVkNmNhIn0.hhhts2-4-ibjXPW6wEsFRaNqV_A-vTz2JFloYn7mS1jzQt3xuHiSaSIiXg3rpnt1RojF_yhcvE9Xe4SOtYimxxVycpjcm8yT_-7lUSrc46UCt9qW6gV7L7KQyKDjNl23wVwIifpRD2JSnx6WbuC0GhAxB5-2ynj6EbeEEcYjAy2tNwG-wcVlnfJLyddYDe8AI_RFhq7HrY4OByA91hiYvHzZ8VzoRW1s4CTCFurA7DoyQfCbeSxdfBuDQbjAzXuZB5-jD1k3WnjqVHrof1LHEPTFV4GQV-pDRmkUwspsPYxsJyKpKWSG_ONk57E_Ba--RqEcE1ZNNDUYHXAtiRnM3w

私たちを参照してください。技術文書詳細についてはこちら。

OpenID

OpenIDはOAuthの上に構築されており、いくつかの追加機能を提供します。

OpenIDとは何ですか？

OpenID Connect 1.0は、OAuth2.0プロトコルの上にある単純なIDレイヤーです。これは、既存のOAuth認証フローを補足し、ユーザーに関する情報をクライアントに適切に説明された方法で提供します。

OpenID接続は、OAuthを実装し、認証されたユーザーに関する情報を共有するための標準化された方法です。使用するサービスを構成できるようになります ORCID 他の標準に準拠したOpenID接続プロバイダーと一緒に「箱から出して」。 OpenID接続は共有可能も提供します ID トークン。これは、ユーザーがを使用して認証されたことを証明できる署名済みオブジェクトです。 ORCID 特定の時間に。これらのトークンは、ユーザーインターフェイス要素がユーザーセッションを維持するために使用できます。

ORCID OAuth認証コードフローの拡張である基本的なOpenIDプロバイダー適合性プロファイルをサポートします。 ORCID 「/ authenticate」スコープと「openid」スコープの暗黙的なトークンフローもサポートします。

これは、 ORCID:

署名された埋め込み id 'openid'スコープで生成された認証コードのトークン応答内のトークン
'token'または 'token id_token'response_typesおよび' openid 'スコープを使用する場合の暗黙的なフローをサポートします。
'openid'スコープを含む承認リクエストの 'prompt'、 'nonce'、および 'max_age'パラメーターをサポートします。
OpenidConnectの検出とuserinfoエンドポイントをサポートします
'openid'スコープを含む承認リクエストのメンバーAPIを使用するインテグレーターの 'amr'フィールドをサポートします。これは、ユーザーがXNUMX要素認証を使用して認証されたかどうかを検出するために使用できます。

OpenID Connect認証の開始は、通常のOAuth認証と同じように機能します。必要なのは、クライアントが「openid」スコープを要求することだけです。/authenticateスコープを使用している場合は、openidに置き換えます。authenticateとopenidは同じ認証を持っているため、どちらか一方のみを使用する必要があります。他のスコープを使用している場合は、要求されたスコープのリストにopenidを追加します。 openidスコープが含まれている場合、レジストリはトークン応答内にid_tokenを返し、そのユーザーのユーザー情報エンドポイントにアクセスするためのアクセス許可をクライアントに付与します。

'openid'スコープは他のように '/'で始まらないことに注意してください ORCID APIスコープ。これは、「openid」スコープがによって定義されていないためです。 ORCID、ただし、代わりにOpenIDConnect仕様で定義されています。