1. トラストレベルに応じた
認証と認可のポリシー
idcon#11
@konfoo

2. サードパーティのトラストレベルに
応じた、デフォルトの認証・認可レ
ベルをきめることでセキュリティと
利用しやすさの両方を満たせない
か？

3. OpenID Connectに認証と認可を指
定するパラメータ

6. サードパーティアプリの分類
• 自社アプリ
• 特別パートナーアプリ（自社ブランドを冠した法人）
• 一般パートナーアプリ（一般法人）
• 個人開発者のアプリ

7. サードパーティアプリのトラストレ
ベル
1. 自社ブランド
2. 特別パートナー
3. 一般パートナー
4. <<<越えられない壁>>>
5. 個人

8. 自社サービス・アプリ
• ユーザ認証
• サービスのセッション管理規則に応じて再認証
• ユーザ認可
• データ利用の認可はなし

9. 特別パートナーのサービス・アプリ
• ユーザ認証
• 自社サービスと同様の認証レベル、必要に応じて再認証を行う
• ユーザ認可
• 自社サービス同様、データ利用における認可はなし。
• データアクセスのためのトークンの有効期限について

10. 一般パートナーサービス・アプリ
• ユーザ認証
• 再認証は任意
• ユーザ認可
• データ利用に関する同意画面をユーザに少なくとも初回は提示す
る。

11. 個人開発アプリ
• ユーザ認証
• かならず毎回再認証によって確認する。
• ユーザ認可
• 毎回確認する

12. RPごとに提供する認証認可
自社ブランド 一般パートナー 個人
ユーザ認証の有 サービス依存 毎回あり 毎回あり
無 （強制なし）
ユーザ認可の有 基本なし 初回のみ強制 毎回あり
無

13. クライアント種別
• Public Client
• User-Agent based Application
• Javascript+HTML
• RIA（Flash/Silverlightなど）
• Native Application
• PCアプリ/ウィジェット
• スマホアプリ
• TVアプリ
• Confidential Client
• Web Application

14. Public Clientで使える認可タイプ
• ブラウザを立ち上げられるデバイス
• Implicit grant
• Authorization code grant(without client secret)
• ブラウザを搭載しないデバイス
• Resource Owner Password Credential Grant

15. RPごとに利用可能な認可タイプ
自社ブランド 一般パートナー 個人開発者
Authorization ○ ○ ○
Code
Implicit ○ ○ ○
Resource Owner ○ ☓ ☓
Password
◯： 利用可
☓： 利用不可

16. Public Clientでの認証・認可先
認証・認可の実施場所 自社 パートナー 個人
(ID/PW等の入力先)
External browser ○ ◎ ◎
（Safariなどのスタンドアロ
ンブラウザ）
Embedded browser ◎ △ △
（WebViewなどの内蔵ブラ
ウザ）
Native App Component △ ☓ ☓
◎：利用可（推奨）
○：利用可
△：利用可（非推奨）
☓：利用不可

17. トラストレベルに応じたルールの例
• デフォルトの認証・認可レベルを定義しておく
• クライアントごとに利用できる認可タイプを制限する
• 認証の際のID/PWの入力先に注意する

18. こういうルールとかポリシーとかの
オープン化はどうでしょうか？