OAuth2基礎知識
Download as PPTX, PDF1 like487 views
GCPUG Shonan vol.6 feat.GAE の発表資料 OAuth2 と 少しOpenID Connectに言及
OAuth2基礎知識
- 2. 自己紹介 ■ https://twitter.com/s0kam0 : そかも ■ フリーランスプログラマー ■ 個人的に.... スペシャルティ珈琲情報サイト「tilde.coffee」開発中 GAE/Go & Python http://developer.tilde.coffee/ ■ 仕事では.... 某カメラメーカーの写真コミュニティサイト開発（2007〜） OAuth2認可サーバ＆リソースサーバ運用中 (2011〜) 2
- 3. OAuthって 3 ■ 最初は「オース」って発音してたけど、 Leah Culverが「オー オース」にすべきだと言った。 後者の方が認証を使って何かやるんだなって分かるよね。 ■ 出典 : http://www.msng.info/archives/2010/04/oauth_is_pronounced_oh_auth.php ■ （まぁ、どっちゃでも良いわ）
- 4. 用語解説 認証と認可 4 ■ 認証（authentication） ＝ 身分証明 => OpenID 異なるサービス間でユーザーの身分証明を行う ■ 認可（authorization） ＝ リソースへのアクセス権限の許可 => OAuth 異なるサービスへのAPIアクセスを実現する （その前に、認証も行っている）
- 5. 用語解説 OAuth2の主なアクター 5 ■ リソース所有者（resource owner） ■ リソースサーバ（resource server） ■ 認可サーバ（authorization server） ■ クライアント（client）
- 7. 主な認可フロー１ 認可コードフロー ■ OAuth 2.0 Playground https://developers.google.com/oauthplayground/ ■ リソース所有者によるアクセス権限の取り消し 7
- 9. OAuth2って、必要なの？ 9 ■ こんな複雑なもの....なぜ必要なのか ■ クライアント側の望み： 異なるサービス間の連携をすることで、 リソース所有者の利便性を高めたい （競合他社との差別化ができるかも） ■ リソース所有者の望み： ID、PWを別サービスのクライアントに教えたくない
- 10. OAuth2、認証に使える？ ■ OAuth2も事前にログインしている ■ ユーザー情報(プロフィール)取得APIで ユーザーIDを取得できるのなら、認証に使えそう ■ と考えた人が多くなったが、インプリシットグラントフローでセ キュリティリスクがある 10
- 11. そこで OpenID Connect 11 ■ OpenID財団が標準を策定した認証プロトコル ■ もともと「OpenID Authentication 2.0」があったが、 OAuth2.0をベースにして、セキュリティを向上させた新たなプ ロトコル ■ アクセストークンに加えて、 IDトークン(JSON Web Tokenなど)を発行する （電子署名、暗号化のいずれか、または両方）
- 13. OpenID Connect デモ ■ Google Identity Platform – OpenID Connect https://developers.google.com/identity/protocols/OpenIDCo nnect 13