[[Open棟梁Project>http://opentouryo.osscons.jp/]] - [[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]

-[[戻る>クレームベース認証#k66961ce]]

* 目次 [#qc1590f2]
#contents

*概要 [#ff7046a2]

*変遷 [#k3aeda5b]
-2009/4/23、OAuth 1.0のセキュリティ問題が判明した。この問題は、OAuth 1.0aで修正された。
-OAuth 2.0は次世代のOAuthプロトコルであり、OAuth 1.0とは後方互換性を持たない。

**OAuth 1.0とOAuth 2.0の違い [#s44d10cb]
-OAuth 2.0でWebサービスの利用方法はどう変わるか(2-3)- @IT~
http://www.atmarkit.co.jp/fsmart/articles/oauth2/02.html
+HTTPSを必須にし、署名をなくし、トークン取得も簡略化
+アクセストークンのみでリソース取得が可能に
+Webアプリも含め、4つのクライアントプロファイルを仕様化
++Webサーバ(Web Server)~
Webアプリケーション
++ユーザーエージェント(User-Agent) ~
JavaScript
++ネイティブアプリ(Native Application)~
モバイルやデスクトップアプリ(ガイドライン程度しか定義されていない)
++自立クライアント(Autonomous)~
既存の認証フレームワークとSAMLなどのプロトコルを使って連携する場合のフロー。

*OAuthの利用例 [#nb5a56c4]
**Instagramで共有した写真をFacebookやTwitterにも投稿 [#y50e86a3]
Instagramの設定画面から複数の外部サービスと連携するように設定できる。

-InstagramはOAuthを用いて外部サービスに代理投稿するアクセス権限を受け取る。
-すると、Instagramは外部サービスに写真を投稿できるようになる。

-外部サービス
--Twitter
--Facebook

**Facebook Twitter IDでほかのサイトにログイン [#d2a34d61]
「Facebook IDでログイン」や「Twitter IDでログイン」といったボタンで利用されている。

-本来、認証・ID連携のために設計されたものではないが、
--外部サービスにユーザのプロフィール情報を取得するAPIが存在する場合、~
このAPIへのアクセス権限を受け取ることで、認証・ID連携の代替が可能。
--誤った使い方をして脆弱性を生み出しているケースも多い。

-外部サービスの認証を信頼する場合
--Twitter
--Facebook

**参考 [#ae2863db]
-デジタル・アイデンティティ技術最新動向(1):~
「OAuth」の基本動作を知る (1-2) - @IT~
http://www.atmarkit.co.jp/ait/articles/1208/27/news129.html

*OAuthのシーケンス [#e2a0d0ab]

-OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜~
OAuth 2.0 Authorization Code Flow~
http://www.slideshare.net/kura_lab/openid-connect-id/21

**Step 0:Client Registration [#m875246b]
準備

-クライアント登録の方法についてはOAuthの仕様では定められていない。
-OAuth Clientは、OAuth Serverに対してアプリ名やドメインなどを添えて自身を登録。
-通常はOAuth Serverのデベロッパー向けサイトでOAuth Clientを登録する。

-Consumer KeyとConsumer Secret?

**Step 1:Initiate [#gdaa4c60]
シーケンスの開始

-「Facebook IDでログイン」や「Twitter IDでログイン」といったボタンで開始する。
-OAuth ClientがResource OwnerからAPIアクセス権限の付与を受ける。
-OAuth 1.0とOAuth 2.0とでフローは多少異なる。

**Step 2:Authorization Request [#vc5a8f68]
ユーザ認証とアクセス権限付与のリクエスト

-事前にOAuth ClientはOAuth Serverにアクセスし、未認可のRequest Tokenを取得する。
-OAuth ClientはClient識別情報を付与しResource OwnerをOAuth Serverにリダイレクト
--OAuth 2.0:Request Token
--OAuth 2.0:Client識別情報をclient_idパラメータに含める。

**Step 3:Authenticate User & Get Approval [#i686ca48]
ユーザ認証とアクセス権限付与

-リダイレクトを受けたOAuth Serverは
--ユーザを認証(OAuthの仕様には含まれない)する(Request Tokenを認可済にする)。
--ユーザが使用するOAuth ClientにOAuth Serverへのアクセス権限付与を許可する。

**Step 4:Authorization Response [#g8be73c7]
ユーザ認証とアクセス権限付与の結果をレスポンス

-OAuth ServerはResource OwnerをOAuth Clientにリダイレクトして戻す。

-リダイレクトURLには、アクセス権限を示すトークンが含まれる。
--OAuth 1.0では、認可済Request Token
--OAuth 2.0では、Client特性により、2種類のトークン形式が存在する。
---Web : code
---Native : access_token

**Step 5:Obtain Access Token [#v305cf48]
-OAuth 1.0 :~
Request Tokenを実際のアクセス権を示すAccess Tokenと交換する

-OAuth 2.0 :~
Step 4でaccess_tokenを得ていない場合、~
受け取った「アクセス権限を示すトークン」とAccess Tokenを交換。

**Step 6:API Access [#tc7739ce]
APIへのアクセス

-Access Token使ってAPIにアクセス。
-Access Tokenは期限切れ、無効化されるまで利用可能。

**参考 [#t918c804]
-デジタル・アイデンティティ技術最新動向(1):~
「OAuth」の基本動作を知る (2-2) - @IT~
http://www.atmarkit.co.jp/ait/articles/1208/27/news129_2.html

-第1回 OAuthとは?―OAuthの概念とOAuthでできること:~
ゼロから学ぶOAuth|gihyo.jp … 技術評論社~
http://gihyo.jp/dev/feature/01/oauth/0001?page=2

*参考 [#sd7d7875]
-OAuth Core 1.0~
http://oauth.net/core/1.0/
-OAuth - Wikipedia~
https://ja.wikipedia.org/wiki/OAuth#OAuth_2.0

-ゼロから学ぶOAuth:特集|gihyo.jp … 技術評論社~
http://gihyo.jp/dev/feature/01/oauth
-デジタル・アイデンティティ技術最新動向 連載インデックス - @IT~
http://www.atmarkit.co.jp/fsecurity/index/index_digid.html

トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS