OpenID Connect
#OAuth
OIDCライブラリ
https://openid.net/developers/certified-openid-connect-implementations/
https://www.openid.or.jp/document/
OAuth2との違い
認証機能を提供
認証トークンを使用して、ユーザーを認証するため、機密情報が漏洩するリスクを低減
セッション管理
SSO
https://www.macnica.co.jp/business/security/manufacturers/okta/blog_20210901.html
セッション管理
https://openid.net/specs/openid-connect-session-1_0.html
https://dev.classmethod.jp/articles/openid-connect-session-management/
これで、OPのログイン状態をチェックできるのか
https://learning.oreilly.com/library/view/solving-identity-management/9781484282618/html/475485_2_En_9_Chapter.xhtml
アプリケーション側は、IDトークンの有効期限に応じて、セッション管理する
prompt
max_age
再認証を行わなくても良い期間
auth_timeクレーム
SSOセッション
ローカルセッション
シングルログアウト
https://learning.oreilly.com/library/view/solving-identity-management/9781484282618/html/475485_2_En_13_Chapter.xhtml
シングルログアウトがない場合、ユーザーのアカウントは IDプロバイダーで無効にできますが、アプリケーションが次に ID プロバイダーと通信するまで、セッションが開いているアプリケーションでアクティブなままになる可能性
参考
https://learning.oreilly.com/library/view/solving-identity-management/9781484282618/html/475485_2_En_9_Chapter.xhtml
------------------
イントロスペクションエンドポイント
https://qiita.com/TakahikoKawasaki/items/b2a4fc39e0c1a1949aab
リソースサーバーが認可サーバーに問い合わせるときの、認可サーバー側のエンドポイント
SAML認証とは？SAMLとOAuthの違い | IT管理クラウド
OIDC単独では使えない
aws sso
https://dev.classmethod.jp/articles/duo-aws-sso-mfa/
違い、ユースケース
https://www.buildinsider.net/enterprise/openid/connect
どういうアクセス権限があるか？
https://openid.net/developers/uncertified/
https://www.ogis-ri.co.jp/otc/hiroba/technical/openid-connect/chap1.html
cognito blog
AD saml
https://aws.amazon.com/jp/blogs/mobile/building-adfs-federation-for-your-web-app-using-amazon-cognito-user-pools/
Userinfoエンドポイント
Final: OpenID Connect Core 1.0 incorporating errata set 1
トークン置換攻撃 (Section 16.11 参照) を考慮すると, UserInfo Response が必ずしも ID Token の sub Claim が示す End-User のものであるとは保証できない. そのため UserInfo Response に含まれる sub Claim が ID Token のそれと一致することを検証しなければならない (MUST). もし2つが一致しない場合, UserInfo Response を利用してはならない (MUST NOT).
Microsoft ID プラットフォームの UserInfo エンドポイント - Microsoft Entra | Microsoft Learn
ID トークンの情報は、UserInfo エンドポイントで入手できる情報のスーパーセットです。 UserInfo エンドポイントを呼び出すトークンを取得すると、同時に ID トークンを取得できます。このため、UserInfo エンドポイントを呼び出す代わりに、トークンからユーザーの情報を取得することをお勧めします。
参考
https://openid.net/specs/openid-connect-core-1_0.html#TokenResponse
https://openid.net/specs/openid-connect-core-1_0.html#UserInfo
- OIDCに置いては、IDトークンとアクセストークンがトークンエンドポイントから取得される。
- UserInfoエンドポイントへは、アクセストークンでリクエストする