OAuthからOIDCへ ― 認可の仕組みが認証に拡張されるまで

OAuthからOIDCへ ― 認可の仕組みが認証に拡張されるまで yamatai12 1

自己紹介 yamatai12（Webエンジニア） SNS X(taiyama1212) Qiita(yamatai12) Zenn(yamatai12) 2

OAuthって、Googleログインでよく見るけど認証の仕組みでしょ？ 3

実は“認可”なんです 4

今日は以下の順で説明していきます OAuthとは → 認可と認証の違い → OIDCへ 5

OAuthとはユーザー（リソース所有者）が、外部のアプリ（クライアント）に自分の代わりになって保護されているユーザー情報（保護対象リソース）への限定的なアクセス権を与える仕組みのこと。 6

OAuthは認可の仕組み 8

認可とは何ができるか（リソースを利用すること）を許可する仕組みのこと。 9

OAuthは認証の仕組みではないのか？ 10

認証とはアクセスしてきたユーザーが誰であるかを特定することそのユーザーがそのアプリケーションに存在するか確認すること 11

OAuthは認証ではなく認可の仕組み（1/2）認可サーバーから発行されるアクセストークンでは認証で確認すべき以下が確認できないそのユーザーが実際に認可サーバー上に存在し、認証済みであること 12

OAuthは認証ではなく認可の仕組み（2/2）アクセストークンはAPI（保護対象リソース）にアクセスする為のもの ↓ つまり、ユーザーが存在するのか、誰であるのかは分からない 13

例）Google Calendar APIへのアクセス権に関する同意画面見た目は認証（ログイン）しているようだが、実際には「APIへのアクセス権を与える」＝認可を行っている 14

OpenID Connect(OIDC) OAuthを基盤とした認証の仕組み 15

OAuthとOpenID Connect(OIDC)両者の対応表(1/4) OAuth OpenID Connect (OIDC) 説明リソース所有者エンドユーザー
自分の情報を持つ本人クライアントリライングパーティ (RP) OpenIDプロバイダ（Googleなど）に認証を委ねるアプリ認可サーバーアイデンティティプロバイダ (IdP) 認証とトークン発行を行うサーバー保護対象リソース UserInfoエンドポイントユーザー情報を持つAPI 16

IDトークンとは認可サーバーで認可された後に取得できるトークン IDトークンはリライングパーティ（クライアント）の認証の為に使われる 21

IDトークンの使われ方リライングパーティはIDトークンを検証し、信頼できるアイデンティティプロバイダから発行された場合にユーザーの認証を完了とする。 22

スコープとはリライングパーティ（外部アプリ）が認可サーバーにアクセス権を要求する際に指定するもの 23

GoogleCloudのスコープの設定 24

スコープがopenid だけだとユーザーが誰であるか分からないスコープに openid があると「このユーザーが認可したユーザー本人である」ことは確認できる。しかし「誰なのか」は分からない 25

UserInfoエンドポイントとはユーザー情報を持つAPIのこと 26

email と profile のスコープを追加することでリライングパーティはUserInfoエンドポイントからユーザー情報を取得できる以下はGoogle Cloudのスコープ .../auth/userinfo.email .../auth/userinfo.profile 27

なぜOIDCは「認証」と言えるのか？「本人確認ができる」＋「誰なのかが分かる」を統合的に提供しているから要素保証すること IDトークンユーザーが本人であること UserInfoエンドポイントその人が誰か 28

まとめ OAuthは「できること」を許可する仕組み（認可） OIDCは「誰であるか」を確かめる仕組み（認証） OIDCはOAuthを基盤とした認証の仕組み 29

参考（speakerdeckのdescriptionに記載） https://qiita.com/TakahikoKawasaki/items/498ca08bbfcc341691fe https://www.shoeisha.co.jp/book/detail/9784798159294 https://qiita.com/masaha03/items/927abc3c6b93911fb703 https://developers.google.com/identity/openid-connect/openid-connect?hl=ja https://cg-support.isr.co.jp/hc/ja/articles/4661444824473-アイデンティティプロバイダーとは https://tech.iimon.co.jp/entry/2025/05/13/180000 https://zenn.dev/bonvoyage/articles/5dda6a1effd022 https://www.hitachi-solutions.co.jp/iam/saml.html
https://www.shoeisha.co.jp/book/detail/9784798159294 30

https://www.oreilly.co.jp/books/9784873116860/ https://tech.iimon.co.jp/entry/2025/05/13/180000 https://zenn.dev/takamin55/articles/538711ed6fd48d https://atmarkit.itmedia.co.jp/ait/articles/1708/31/news124.html 31

OAuthからOIDCへ ― 認可の仕組みが認証に拡張されるまで

OAuthからOIDCへ ― 認可の仕組みが認証に拡張されるまで

山根大生

More Decks by 山根大生

Other Decks in Technology

Featured

Transcript