GCPUG Shonan vol.6 feat.GAE の発表資料 OAuth2 と 少しOpenID Connectに言及

1. OAuth2基礎知識
と
OpenID Connect
2016.09.25
1

2. 自己紹介
■ https://twitter.com/s0kam0 : そかも
■ フリーランスプログラマー
■ 個人的に....
スペシャルティ珈琲情報サイト「tilde.coffee」開発中
GAE/Go & Python http://developer.tilde.coffee/
■ 仕事では....
某カメラメーカーの写真コミュニティサイト開発（2007〜）
OAuth2認可サーバ＆リソースサーバ運用中 (2011〜)
2

3. OAuthって
3
■ 最初は「オース」って発音してたけど、
Leah Culverが「オー オース」にすべきだと言った。
後者の方が認証を使って何かやるんだなって分かるよね。
■ 出典 : http://www.msng.info/archives/2010/04/oauth_is_pronounced_oh_auth.php
■ （まぁ、どっちゃでも良いわ）

4. 用語解説
認証と認可
4
■ 認証（authentication） ＝ 身分証明
=> OpenID
異なるサービス間でユーザーの身分証明を行う
■ 認可（authorization） ＝ リソースへのアクセス権限の許可
=> OAuth
異なるサービスへのAPIアクセスを実現する
（その前に、認証も行っている）

5. 用語解説
OAuth2の主なアクター
5
■ リソース所有者（resource owner）
■ リソースサーバ（resource server）
■ 認可サーバ（authorization server）
■ クライアント（client）

6. 主な認可フロー１
認可コードフロー
6

7. 主な認可フロー１
認可コードフロー
■ OAuth 2.0 Playground
https://developers.google.com/oauthplayground/
■ リソース所有者によるアクセス権限の取り消し
7

8. 主な認可フロー２
インプリシット・グラントフロー
8

9. OAuth2って、必要なの？
9
■ こんな複雑なもの....なぜ必要なのか
■ クライアント側の望み：
異なるサービス間の連携をすることで、
リソース所有者の利便性を高めたい
（競合他社との差別化ができるかも）
■ リソース所有者の望み：
ID、PWを別サービスのクライアントに教えたくない

10. OAuth2、認証に使える？
■ OAuth2も事前にログインしている
■ ユーザー情報(プロフィール)取得APIで
ユーザーIDを取得できるのなら、認証に使えそう
■ と考えた人が多くなったが、インプリシットグラントフローでセ
キュリティリスクがある
10

11. そこで
OpenID Connect
11
■ OpenID財団が標準を策定した認証プロトコル
■ もともと「OpenID Authentication 2.0」があったが、
OAuth2.0をベースにして、セキュリティを向上させた新たなプ
ロトコル
■ アクセストークンに加えて、
IDトークン(JSON Web Tokenなど)を発行する
（電子署名、暗号化のいずれか、または両方）

12. そこで
OpenID Connect
12

13. OpenID Connect
デモ
■ Google Identity Platform – OpenID Connect
https://developers.google.com/identity/protocols/OpenIDCo
nnect
13

14. まとめ
■ 認証と認可
https://pocket.co/sMEPEp
■ Googleなどが提供しているクライアントライブラリを使って
おけば、とりあえずセキュア
14