際際滷

?Copyright 2014 Mashmatrix, Inc. All rights reserved.
アイデンティティ2.0と
OAuth/OpenID Connect
Mashmatrix, Inc.
www.mashmatrix.com
!
Shinichi Tomita
stomita@mashmatrix.com

この�Y創は、幄塀氏芙ウフル (http://uhuru.co.jp/) の
芙坪セミナ�`にて聞喘した�Y創です。ウフル��のご挫吭
により、巷�_の�S�Zを誼ましたので、巷�_いたします。
!

念指のおさらい
? シングルサインオンがなぜ駅勣か
? �J�^?�J辛
? SAML

200X定は
コンシュ�`マWebの�r旗

Weblog�ブログ�の臓腹
? 2000定旗念磯、ブログによって�lでもカジュアルにWeb
へコンテンツ�k佚が辛嬬に
? MovableTypeなどのソフトウェア、RSSなどの�k婢
? �k伏した��}
? ブログのコメント�秘にスパムが謹くなった。
? スパム指閲のために、コメントする繁の竃徭を苧らかにしたい
? でも方あるブログサイトにコメントする繁畠�Tのログインアカ
ウントを恬る��o尖�o尖。

盾�Q貨とOpenIDの�Q伏
? もうみんなWebのどこかに徭蛍のサイト�ブログ�を
隔ってるよね�
? コメント麼にはそのサイトの隔ち麼が徭蛍であることを�^
苧してもらったらいいんじゃない�
? Webのような蛍柊した�h廠でも徭蛍のアイデンティティ
を�止_できる碧�Mみ�プロトコル�をつくろう�
? 2005定�、Six Apartのメンバ�`がOpenID 1.0を戻蟹

OpenIDの蒙�
? World Wide Web、蛍柊�h廠が寄念戻
? �lでも徭蛍のサイトでアイデンティティを麼�できる
? どのサイトでも徭蛍のアイデンティティを旋喘できる
? 恷兜から仝シングルサインオン々を箔めたわけではない
? コメントするユ�`ザの侭嗤するWebサイトを�R�eすることが恷兜の��C
? ユ�`ザのアイデンティティはインタ�`ネット貧にURLでアクセス辛嬬であ
る、という�協
? OpenID 2.0でシングルサインオン喘余にも旋喘できるように��
? サイトを並念に鞠�hしたりする駅勣はない
? �啜弔淵妊�好�丱蠅��に根まれる

歌深�User-Centric Identity
? サイト嶄伉のアイデンティティ�Identity 1.0�
? ユ�`ザのアイデンティティはサイトが砿尖する
? アイデンティティのサイロ(Silo)�謁に�]ざされた優(Walled
Garden�
? ユ�`ザ嶄伉のアイデンティティ�Identity 2.0�
? 旋喘宀云繁がアイデンティティ秤�鵑鬟灰鵐肇踪`ルする

Identity 2.0
? 互堀プレゼンテ�`ションスタイルで嗤兆
? https://www.youtube.com/watch?
v=RrpajcAgR1E
? ActiveState、SXIP��I宀
? Chuck Mort��FSFDC Identity PM�は
圷SXIPに壓汐していたことも
? SXIPのクロ�`ズ瘁、Microsoftを�Uて、�F壓
フリ�`�
Dick Hardt

マッシュアップとOAuth
? Webサ�`ビスAPIを旋喘した仝マッシュアップ々の送佩
? パブリックなリソ�`スだけでなく、アクセス隠�oされたリソ�`スも�Qいたい
? 旗尖アクセスの駅勣來?�慙泙領�j
? OAuth1.0: Webアプリの�J辛のためのプロトコルを��併�
? Flickrなどで旋喘されていた�慙淮�jの碧�Mみがヒント
? スコ�`プによって溜�jする�慙泙鰆原┸苗�
? 箭��iみ�zみのみ��zみ辛�プロフィ�`ル秤�鵑里滷�灰鵐織�版�鵑眇鼻△覆�
? �F壓もTwitterのAPIはOAuth1.0aで戻工されている
? なお1.0にはプロトコルに巌樋來が�つかっているため、�F壓は個�井の1.0aを聞う
べき

Facebook Connect
? Facebookの鏡徭碧��で婢�_されたAPI俊�Aの碧�Mみ
? Webサイトから��gにFacebookのサ�`ビスに俊�Aするた
めのウィジット?ボタンを喘吭
? サ�`バサイドいらず、Webサイトにファイルを崔くだけで��
できる��gさ
? JavaScript SDKもあり、�}�jなアプリの��Bも辛嬬
? Facebookの卯�k議な噸式により、謹方のサイトで聞われ
るように

OAuth 2.0
? OAuth 1.0の郡福
? セキュリティ�S隔のため�}�jになってしまったプロトコル
? �徨俸兆の�Qいに逗�困垢謇_�k宀
? OAuth 2.0
? Facebook Connectを歌深にして、Dick HardtらがOAuth WRAPを戻
蟹 OAuth 2.0へ�M晒
? 俸兆のような中宜な返�gを福き、セキュリティはSSLで隠�^する
? Facebookも瘁にOAuth2.0に栽わせてAPIを�筝�
? Secret秤�鵑魍屬弔海箸�yしいJavaScriptやスマホアプリからも旋喘
できるImplicit Grant Flowも

OAuth 2.0?
(Authorization Code Flow)
http://www.atmarkit.co.jp/ait/articles/1209/10/news105.html

OAuth 2.0?
(Implicit Grant Flow)

ソ�`シャルログイン�
? 仝屡に翌何のソ�`シャルサ�`ビスに隠嗤しているアイデン
ティティを旋喘して、ユ�`ザが�サイト�アプリ�にログ
インできる�C嬬々に��する没各
? 仝アイデンティティ�B亊(Identity Federation)々という�Zが匯
違�_�k宀には岷湖議でなかったことも圻咀か
? �g�HはOAuthなどでソ�`シャルAPIへのアクセス�慙泙鯣ゝ�?
ユ�`ザの�R�e秤�鵑鯣ゝ辰靴董献蹈哀ぅ鵝�

OAuthによる?
仝ソ�`シャルログイン々の�n�}
1. ��併�気譴討い覆�
? ユ�`ザ秤�鵑魯稀`ビス鏡徭のAPIを旋喘して函ってくる
? 俊�Aするサ�`ビスごとにクライアントの�_�kが駅�
2.〆�J辛〇を〆�J�^〇に旋喘
? APIに��するアクセスの�J辛を嚥えられたとしても、そのAPIから誼たユ�`ザ秤�鵑鬟罘`
ザの�J�^に旋喘してほんとにいいのか�
3. API�慙泙��喘したスパム
? そもそもログインしたいだけなのに、なぜアクセス�慙泙�慴�覆裡�
4.�圻尖麼�x議には�ユ�`ザ�`?セントリックでない
? 翌何のアイデンティティを�x�kできるという吭龍ではユ�`ザ�`?セントリックだが、
ユ�`ザが販吭のアイデンティティを隔ち�\べるわけではない

OpenID Connect
? ﾚく噸式したOAuth2.0をベ�`スにした、蛍柊�h廠でユ�`
ザのシングルサインオンを�g�Fするためのプロトコル
? �咾衫直筍�
? OAuth2を聞った�J�^よりも��併�気譴討�螳火�
? SAMLより��gなので�g廾は否叟

OpenID Connect の蒙�
? アイデンティティ秤�鵑鯣ゝ辰垢襪燭瓩離好芥`プ openid を協�x
? UserInfo Endpoint というユ�`ザ秤�鵑鯣ゝ辰垢�APIのスキ�`
マを協�xし、インタ�`フェ�`スを�y匯
? 愔瓦�access_tokenの麿に id_token というト�`クンを協�x
? ユ�`ザのアイデンティティを�^苧する�アサ�`ション�ト�`クン
? JWT�JSON Web Token�を旋喘し、�徨俸兆で個ざんを契峭
? UserInfo EndpointがFirewall坪にある��呂筺�}方アプリをまたがって
ト�`クンが�止_される��呂覆匹忙醵耽苗�
? OpenID 2.0と揖��に�啜弔縫汽ぅ皮gの�B亊を佩う碧�Mみもあり
��v�B碧��

OpenID Connectのフロ�`

まとめ
? 二�Iシステムを嶄伉としたシングルサインオンの�k婢とは�e
に、コンシュ�`マWebにおける勣箔からOpenIDおよび
OAuthが伏まれた
? OAuthは、撹孔したFacebook Connectを歌深に、より��
さを嶷�したOAuth2.0へと�k婢した
? Facebook/Twitterの岬�^により、翌何アイデンティティを旋
喘したログインという悶�Yは匯違晒したが、匯圭でさまざま
な��}を墅んだ
? OpenID Connect による��併�梅B亊はもっと�Sになるかも

處�(OpenID Connect)
? OpenID Connect を旋喘して、SalesforceをGoogleアカウ
ントでログインできるようにする
? 歌深URL�
? http://blog.?ect.co.jp/salesforce/2014/06/openid-connect-a?a.html
? ��k婢處��貧�の�B亊で函誼したTokenを旋喘して、Apex
からGoogleのAPIを澣いてみる
? 歌深URL�
? http://www.tquila.com/blog/2014/02/13/accessing-google-apis-
apex-minimal-e?ort

際際滷

アイテ?ンティティ2.0とOAuth/OpenID Connect

More Related Content

アイテ?ンティティ2.0とOAuth/OpenID Connect