OIDC 1.0 & OAuth 2.0 超入門

概要

OAuth 2.0 は認可を扱うフレームワーク

“OAuth は認可プロトコルで認証プロトコルではない” とはどういうことか

OpenID Connect 1.0 は OAuth 2.0 の上で認証を扱う

認証と認可

認証とは

リソースにアクセスする人が誰であるかを特定する

https://gyazo.com/e7f97c3a7ea83a07e3029df93fb4d6bf

認可とは

リソースへのアクセスを許可する

https://gyazo.com/ee7db00af7fc2fa6b79d0811a27f7ae2

OAuth 2.0

リソース所有者が、リソースへのアクセス権を第三者 (クライアント) に付与する (認可) ためのプロトコル

https://gyazo.com/b025e95431918f21d19e1f52d6a257f1

https://gyazo.com/31b6b90e2eb7ada265935f83e0148743

“OAuth は認可プロトコルで認証プロトコルではない”

OAuth について調べるとよく出てくる言葉

どういうことか？

OAuth では、クライアントがリソース所有者のリソースにアクセスするための仕組みが標準化されている (認可)

OAuth では、クライアントがリソース所有者が誰であるかを知るための仕組み (クライアントにとってのリソース所有者に対する認証) は標準化されていない

OpenID Connect 1.0

OAuth 2.0 の仕組みを拡張し、クライアントがリソース所有者が誰であるかを知る仕組み (認証) を標準化したもの