2023/10/06の勉強会で発表されたものです。

1. OpenID Connectについて
2023年10月6日 おじさん
1

2. 目次
• 概要
• IDトークン
• 認証が必要な理由
• トークン発行のフロー
• まとめ

3. 概要
• 認証をおこなうプロトコル
• 認可をおこなうOAuth2.0の拡張
• IDプロバイダがIDトークンを発行

4. IDトークン
・認証されたユーザ本人と証明するためのもの
構成：
ヘッダ.ペイロード.署名
・ヘッダ = 署名とペイロードの情報
・ペイロード = トークンの内容
(認証情報、ユーザ属性、その他)
・署名 = 検証に使われる署名
・ピリオド区切りで3つに分かれる
・JSON形式をBase64urlエンコード
eyJraWQiOiIxZTlnZGs3IiwiYWxnIjoiUlMyNTYifQ.ewogImlzcyI6ICJodHRwOi
8vc2VydmVyLmV4YW1wbGUuY29tIiwKICJzdWIiOiAiMjQ4Mjg5NzYxMDAxIi
wKICJhdWQiOiAiczZCaGRSa3F0MyIsCiAibm9uY2UiOiAibi0wUzZfV3pBMk1
qIiwKICJleHAiOiAxMzExMjgxOTcwLAogImlhdCI6IDEzMTEyODA5NzAsCiAi
bmFtZSI6ICJKYW5lIERvZSIsCiAiZ2l2ZW5fbmFtZSI6ICJKYW5lIiwKICJmYW
1pbHlfbmFtZSI6ICJEb2UiLAogImdlbmRlciI6ICJmZW1hbGUiLAogImJpcnRo
ZGF0ZSI6ICIwMDAwLTEwLTMxIiwKICJlbWFpbCI6ICJqYW5lZG9lQGV4YW
1wbGUuY29tIiwKICJwaWN0dXJlIjogImh0dHA6Ly9leGFtcGxlLmNvbS9qYW
5lZG9lL21lLmpwZyIKfQ.rHQjEmBqn9Jre0OLykYNnspA10Qql2rvx4FsD00jwl
B0Sym4NzpgvPKsDjn_wMkHxcp6CilPcoKrWHcipR2iAjzLvDNAReF97zoJqq
880ZD1bwY82JDauCXELVR9O6_B0w3K-
E7yM2macAAgNCUwtik6SjoSUZRcf-
O5lygIyLENx882p6MtmwaL1hd6qn5RZOQ0TLrOYu0532g9Exxcm-
ChymrB4xLykpDj3lUivJt63eEGGN6DH5K6o33TcxkIjNrCD4XB1CKKumZvCe
dgHHF3IAK4dVEDSUoGlH9z4pP_eWYNXvqQOjGs-
rDaQzUHl6cQQWNiDpWOl_lxXjQEvQ

5. 認証が必要な理由
• アクセストークンには作成者や作成時間等の情報がない
• 別のユーザから不正に取得したアクセストークンが使える
→なりすましができる
• 認証情報も追加して検証
• より安全な通信が可能

6. トークン発行のフロー
クライアント
アプリ
認可サーバ
リソースサーバ
ユーザ
1. 認可リクエスト
4. 認可コードを返す
3. 認証
5. トークンリクエスト
6. アクセストークン
2. 同意画面 2. 同意画面
3. 認証
7. アクセストークンでリソース要求
OAuth2.0の場合：
認可コードフロー

7. トークン発行のフロー
クライアント
アプリ
IDプロバイダ
認可サーバ
リソースサーバ
ユーザ
1. 認可リクエスト
4. 認可コードを返す
3. 認証
5. トークンリクエスト
6. アクセストークンと
IDトークンを返す
2. 同意画面 2. 同意画面
3. 認証
7. アクセストークンとIDトークン
でリソース要求
IDトークンを検証
OpenID Connectの場合：

8. トークン発行のフロー
OAuth2.0では、
認可コードフローを指定するには、response̲type にcodeを指定
リクエストパラメータ：
response̲type = code
OpenId Connectでは、
response̲type に id̲token が追加、組み合わせて指定
リクエストパラメータ：
response̲type = code id̲token
scope = openid

9. まとめ
• OpenID Connectについて簡単に説明
• OAuth2.0を拡張、認証を追加
• IDトークンを発行
• IDトークンを検証することでより安全に