OAuthからOIDCへ ― 認可の仕組みが認証に拡張されるまで

本スライドは以下のブログを元にしています！
https://qiita.com/yamatai12/items/defa24408720d65bbe35

参考
- https://qiita.com/TakahikoKawasaki/items/498ca08bbfcc341691fe
- https://www.shoeisha.co.jp/book/detail/9784798159294
- https://qiita.com/masaha03/items/927abc3c6b93911fb703
- https://developers.google.com/identity/openid-connect/openid-connect?hl=ja
- https://cg-support.isr.co.jp/hc/ja/articles/4661444824473-%E3%82%A2%E3%82%A4%E3%83%87%E3%83%B3%E3%83%86%E3%82%A3%E3%83%86%E3%82%A3%E3%83%97%E3%83%AD%E3%83%90%E3%82%A4%E3%83%80%E3%83%BC%E3%81%A8%E3%81%AF
- https://tech.iimon.co.jp/entry/2025/05/13/180000
- https://zenn.dev/bonvoyage/articles/5dda6a1effd022
- https://www.hitachi-solutions.co.jp/iam/saml.html
- https://www.shoeisha.co.jp/book/detail/9784798159294
- https://www.oreilly.co.jp/books/9784873116860/
- https://tech.iimon.co.jp/entry/2025/05/13/180000
- https://zenn.dev/takamin55/articles/538711ed6fd48d
- https://atmarkit.itmedia.co.jp/ait/articles/1708/31/news124.html

Transcript

1. OAuthからOIDCへ ― 認可の仕組みが認証に拡張され るまで TECH PLAY主催LT大会 #2 yamatai12 1
2. 自己紹介 yamatai12（Webエンジニア） SNS X(taiyama1212) Qiita(yamatai12) Zenn(yamatai12) 2
3. OAuthって、Googleログインでよく見るけど 認証の仕組みでしょ？ 3
4. 実は“認可”なんです 4
5. 今日は以下の順で説明していきます OAuthとは → 認可と認証の違い → OIDCへ 5
6. OAuthとは ユーザー（リソース所有者）が、外部のアプリ（クライアント）に自分の代わりにな って保護されているユーザー情報（保護対象リソース）への限定的なアクセス権を与え る仕組みのこと。 6
8. OAuthは認可の仕組み 8
9. 認可とは 何ができるか（リソースを利用すること）を許可する仕組みのこと。 9
10. OAuthは認証の仕組みではないのか？ 10
11. 認証とは アクセスしてきたユーザーが誰であるかを特定すること そのユーザーがそのアプリケーションに存在するか確認すること 11
12. OAuthは認証ではなく認可の仕組み（1/2） 認可サーバーから発行されるアクセストークンでは、以下が確認できない その認可したユーザーが実際に認可サーバー上に存在していること（認証済みである こと） 12
13. OAuthは認証ではなく認可の仕組み（2/2） アクセストークンはAPI（保護対象リソース）にアクセスする為のもの ↓ つまり、ユーザーが存在するのか、誰であるのかは分からない 13
14. 例）Google Calendar APIへのアクセス権に関する同意画面 見た目は認証（ログイン）しているようだが、 実際には「APIへのアクセス権を与える」＝認可を行っている 14
15. OpenID Connect(OIDC) OAuthを基盤とした認証の仕組み 15
16. OAuthとOpenID Connect(OIDC)両者の対応表(1/4) 説明 OAuth OpenID Connect (OIDC) 自分の情報を持つ本人 リソース所有者 エンドユーザー 認可後にトークンを受け取るア プリ クライアント リライングパーティ (RP) トークン発行を行うサーバー 認可サーバー アイデンティティプロバイダ (IdP) ユーザー情報を持つAPI 保護対象リソー ス UserInfoエンドポイント 16
17. OAuthとOpenID Connect(OIDC)両者の対応表(2/4) 説明 OAuth OpenID Connect (OIDC) 自分の情報を持つ本人 リソース所有者 エンドユーザー 認可後にトークンを受け取るア プリ クライアント リライングパーティ (RP) トークン発行を行うサーバー 認可サーバー アイデンティティプロバイダ (IdP) ユーザー情報を持つAPI 保護対象リソー ス UserInfoエンドポイント 17
18. OAuthとOpenID Connect(OIDC)両者の対応表(3/4) 説明 OAuth OpenID Connect (OIDC) 自分の情報を持つ本人 リソース所有者 エンドユーザー 認可後にトークンを受け取るア プリ クライアント リライングパーティ (RP) トークン発行を行うサーバー 認可サーバー アイデンティティプロバイダ (IdP) ユーザー情報を持つAPI 保護対象リソー ス UserInfoエンドポイント 18
19. OAuthとOpenID Connect(OIDC)両者の対応表(4/4) 説明 OAuth OpenID Connect (OIDC) 自分の情報を持つ本人 リソース所有者 エンドユーザー 認可後にトークンを受け取るア プリ クライアント リライングパーティ (RP) トークン発行を行うサーバー 認可サーバー アイデンティティプロバイダ (IdP) ユーザー情報を持つAPI 保護対象リソー ス UserInfoエンドポイント 19
21. IDトークンとは 認可サーバーで認可された後に取得できるトークン IDトークンはリライングパーティ（クライアント）の認証の為に使われる 21
22. IDトークンの使われ方 リライングパーティはIDトークンを検証し、 信頼できるアイデンティティプロバイダから発行された場合に ユーザーの認証を完了とする。 22
23. スコープとは リライングパーティ（外部アプリ）が認可サーバーにアクセス権を要求する際 に指定するもの 23
24. GoogleCloudのスコープの設定 24
25. スコープがopenid だけだとユーザーが誰であるか分 からない スコープに openid があると 「このユーザーが認可したユーザー本人である」ことは確認できる。 しかし「誰なのか」は分からない 25
26. UserInfoエンドポイントとは ユーザー情報を持つAPIのこと 26
27. email と profile のスコープを追加することで リライングパーティはUserInfoエンドポイントからユーザー情報を取得できる 27
28. なぜOIDCは「認証」と言えるのか？ 「本人確認ができる」＋「誰なのかが分かる」を統合的に提供し ているから 要素 保証すること IDトークン ユーザーが本人であること UserInfoエンドポイント その人が誰か 28
29. まとめ OAuthは「できること」を許可する仕組み （認可） OIDCは「誰であるか」を確かめる仕組み （認証） OIDCはOAuthを基盤とした認証の仕組み 29
30. 参考（speakerdeckのdescriptionに記載） https://qiita.com/TakahikoKawasaki/items/498ca08bbfcc341691fe https://www.shoeisha.co.jp/book/detail/9784798159294 https://qiita.com/masaha03/items/927abc3c6b93911fb703 https://developers.google.com/identity/openid-connect/openid-connect?hl=ja https://cg-support.isr.co.jp/hc/ja/articles/4661444824473-アイデンティティプロバ イダーとは https://tech.iimon.co.jp/entry/2025/05/13/180000 https://zenn.dev/bonvoyage/articles/5dda6a1effd022 https://www.hitachi-solutions.co.jp/iam/saml.html https://www.shoeisha.co.jp/book/detail/9784798159294 30
31. https://www.oreilly.co.jp/books/9784873116860/ https://tech.iimon.co.jp/entry/2025/05/13/180000 https://zenn.dev/takamin55/articles/538711ed6fd48d https://atmarkit.itmedia.co.jp/ait/articles/1708/31/news124.html 31