Open棟梁Project - マイクロソフト系技術情報 Wiki

-[[戻る>クレームベース認証#ya3d2a7b]]

* 目次 [#tc83c978]
#contents

*概要 [#bb0360e2]
-OpenID 2.0のプロトコルを引き継ぐことをせず、~
OAuth 2.0を拡張して、OpenID 2.0を置き換えたもの。

-NIST SP 800-63-1で定義されている全ユーザ認証要件（LoA）への対応が可能。~
金融システムや電子政府／行政システムにも利用できることを意味している。

**設計思想 [#s2c1f4d6]
-簡単なことは簡単に
-難しいことも可能に
-モジュラーデザイン

*モジュラーデザイン [#he3af831]
ユースケースに対応するため、
-複数の仕様から成り立っており、
-それらをモジュール的に組み合わせることで

多様な環境をサポートできる。

**仕様一覧 [#ie0f4645]

***[[OAuth]] 2.0に認証結果とプロフィールの受渡し機能を追加 [#c4eeb3ab]
[[OAuth]] 2.0に認証結果とプロフィールの受渡し機能のみを追加した仕様

-Basic Client Profile~
http://openid.net/specs/openid-connect-basic-1_0.html
>OAuth 2.0 Authorization Code Grantを拡張

-Implicit Client Profile~
http://openid.net/specs/openid-connect-implicit-1_0.html
>OAuth 2.0 Implicit Grantを拡張

***OpenID Connectのコアな機能（難しいことも可能に） [#wf00d0d3]
リクエスト内の細かいクレーム指定や認証コンテキストの指定

-Messages~
http://openid.net/specs/openid-connect-messages-1_0.html
>OAuth 2.0に追加で必要となるメッセージの使用

-Standard~
http://openid.net/specs/openid-connect-standard-1_0.html
>Messagesの内容をHTTPに落とし込んだHTTPバインディング仕様

***関連仕様 [#h5793a09]
-Discovery~
http://openid.net/specs/openid-connect-discovery-1_0.html
>メールアドレスやURLからユーザが利用しているOPを特定する方法

-Dynamic Client Registration
http://openid.net/specs/openid-connect-registration-1_0.html
>動的なRP登録を行う方法

-Session Management~
http://openid.net/specs/openid-connect-session-1_0.html
>OP上でユーザーがログアウトしたときにRP側から検知する方法など、セッション管理の方法

*OpenIDトークン（クレーム） [#ofb73c59]
-以下の値を含むデータをエンコードして署名を付けたもの。
--発行元のOP識別子
--発行先のRP識別子（client_id）
--ユーザー識別子
--発行日時

-仕様全体を通してメッセージ形式にJSONを採用。

-クレームの扱いについて次のような機能を定義している。
--外部クレームの提供
---集約クレーム（Aggregated Claims）
---分散クレーム（Distributed Claims）
--クレームの暗号化（Encrypted Claims）

**外部クレーム [#jb63c82f]
OPは、扱うクレームの内容によって、
-集約クレーム
-分散クレーム

どちらを利用すべきかを判断する必要がある。

***集約クレーム [#yfd0840d]
-別のOPが持つクレームを署名付きで提供すること。

-RPからリクエストを受けたOPは、事前に取得していた、~
もしくは動的に取得した別のOPのクレームをレスポンスに含む。

一定期間変更されないことが保証されており~
キャッシュの効果があるものは集約クレーム。

***分散クレーム [#xaa4e17c]
クレームそのものではなく、問い合わせ先のURLを扱う。

-Publicなクレームの場合
--エンドポイントのURL

-ユーザー認可が必要な場合
--エンドポイントのURL
--OAuth 2.0のアクセストークン

をレスポンスに含む。

頻繁に更新されるものは分散クレーム。

**クレーム暗号化 [#vfd3c786]
クレーム（JSONデータ）の
-署名作成（JWS）
-暗号化（JWE）

の方法は、IETFのJOSE WGにて仕様が策定されている。

-Javascript Object Signing and Encryption (jose)~
http://datatracker.ietf.org/wg/jose/

*** [#c066b69f]

***JSON Web Encryption（JWE） [#y564ec58]
JSONデータで表現されたクレームを、

-OP：クレームを暗号化する。
-OP：RPにリダイレクトして渡す。
-RP：クレームを復号化する。

*OpenID Connectのシーケンス [#s55b276e]

-OpenID Connect 入門 〜コンシューマーにおけるID連携のトレンド〜~
OpenID Connect Authorization Code Flow~
http://www.slideshare.net/kura_lab/openid-connect-id/28

** [#h438d001]
***STEP1 Authorization codeの取得 [#w6d2830e]
ID連携したいアプリケーションがIdpからAuthorization codeを取得。

**モバイルアプリ [#v2c717b3]
***Step 0：Discovery & Dynamic Client Registration [#l8e54863]
OP探索と動的なRP登録
トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS