OpenID Connectの意味

OpenID Connectは、OAuth 2.0プロトコルの上に認証のための標準化されたレイヤーを追加する仕様です。OpenID FoundationのCore仕様では、クライアントが認可サーバーで認証されたエンドユーザーの身元を検証し、基本的なプロフィール情報を取得できるように、IDトークン、クレーム、認証リクエストやレスポンスを定義しています。OAuthが主に「どのアプリがどのリソースへアクセスできるか」を扱うのに対し、OpenID Connectは「認証された利用者が誰かをクライアントが確認する」ことを扱います。IDトークンはJWT形式で運ばれることが多く、発行者、対象クライアント、署名、有効期限などの検証が必要です。Discovery仕様を使う構成では、認可エンドポイントやトークンエンドポイントなどの情報を標準化された場所から取得します。OpenID Connectを導入しただけで、認証情報の保管、アカウント連携、セッション管理、権限設計が自動的に安全になるわけではありません。OAuth、SAML、SSO、IDトークンの役割を分けて記録します。

OpenID Connectが整備された背景には、OAuth 2.0による権限委任とは別に、認証された利用者の身元をクライアントが確認する標準的な方法が必要です。IDトークンとクレームを使う認証レイヤーとして扱います。

OpenID ConnectはOAuth 2.0上の認証レイヤーなので、OAuthの認可とIDトークンの検証を分けて確認します。