認証・認可フローを 仕様から理解する。

OAuth 2.0

クライアントへパスワードを渡さず、認可コードをアクセストークンへ交換して保護APIへアクセスする基本フローです。

Client Credentials

ユーザーを介さず、クライアント自身の権限でサービス間APIへアクセスするM2M向けフローです。

Refresh Token

アクセストークンの期限切れ後、ユーザーを再認証させずに新しいトークンを取得する継続セッションのフローです。

View flow →LEGACY

Implicit (Legacy)

アクセストークンをフロントチャネルで直接返す旧方式です。現代のアプリではAuthorization Code + PKCEを使用します。

View flow →LEGACY

Password (Legacy)

クライアントがユーザーのパスワードを直接収集する旧方式です。OAuth 2.1では削除され、新規利用できません。

SPECIFICATION

OAuth 2.0 Device Authorization (RFC 8628)

OAuth 2.0 Device Authorization Grant

Device Authorization

テレビやCLIなど入力制約のある端末を、別のブラウザを使って安全に認可するフローです。

SPECIFICATION

OAuth 2.1

OAuth 2.1 Authorization Framework

OAuth 2.1

Authorization Code FlowへPKCEを必須要件として組み込み、コード横取り攻撃を防ぐ現代的な認可フローです。

Client Credentials

ユーザーを介さず、クライアント自身の権限でサービス間APIへアクセスするM2M向けフローです。

Refresh Token

アクセストークンの期限切れ後、ユーザーを再認証させずに新しいトークンを取得する継続セッションのフローです。

Device Authorization

テレビやCLIなど入力制約のある端末を、別のブラウザを使って安全に認可するフローです。

SPECIFICATION

OpenID Connect Core 1.0

OpenID Connect

OAuth 2.0へ本人確認を追加し、署名付きIDトークンからユーザーの認証結果を安全に受け取ります。

OIDC Hybrid

Authorization Endpointからcodeと一部トークンを組み合わせて返し、フロントチャネルとバックチャネルを併用する高度なOIDCフローです。

View flow →LEGACY

OIDC Implicit (Legacy)

IDトークンやアクセストークンをAuthorization Endpointから直接返す旧OIDCフローです。現在はCode + PKCEを優先します。

SPECIFICATION

FIDO2 WebAuthn Level 3

Web Authentication: Public Key Credentials

FIDO2 Registration

Relying Party固有の公開鍵CredentialをAuthenticator内で生成し、公開鍵とAttestationをサーバーへ登録するフローです。

FIDO2 Authentication

AuthenticatorがRelying Partyのchallengeへ秘密鍵で署名し、パスワードを共有せずユーザーのCredential保有を証明するフローです。

SPECIFICATION

FIDO2 CTAP 2.2

Client to Authenticator Protocol

FIDO2 Registration

Relying Party固有の公開鍵CredentialをAuthenticator内で生成し、公開鍵とAttestationをサーバーへ登録するフローです。

FIDO2 Authentication

AuthenticatorがRelying Partyのchallengeへ秘密鍵で署名し、パスワードを共有せずユーザーのCredential保有を証明するフローです。

SPECIFICATION

FIDO UAF 1.1

Universal Authentication Framework

FIDO UAF

端末内Authenticatorを使い、Relying Partyが指定するPolicyに適合した公開鍵Credentialでパスワードレス認証する従来FIDOフローです。

SPECIFICATION

FIDO U2F 1.2

Universal Second Factor

LEGACY

FIDO U2F

パスワード認証にフィッシング耐性のあるSecurity Key操作を追加し、公開鍵署名で第二要素を証明する従来FIDOフローです。

SPECIFICATION

OpenID Connect CIBA Core 1.0

Client-Initiated Backchannel Authentication

CIBA Poll Mode

Clientがブラウザリダイレクトを使わずに認証を開始し、ユーザーが別の認証端末で承認する、端末分離型のOpenID Connectフローです。

CIBA Ping Mode

認証完了時にOpenID ProviderがClientへauth_req_idだけを通知し、ClientがToken Endpointから結果を取得するCIBAフローです。

CIBA Push Mode

認証完了時にOpenID ProviderがClient Notification Endpointへトークンセットを直接配送するCIBAフローです。

SPECIFICATION

OAuth 2.0 PKCE (RFC 7636)

Proof Key for Code Exchange by OAuth Public Clients

OAuth 2.1

Authorization Code FlowへPKCEを必須要件として組み込み、コード横取り攻撃を防ぐ現代的な認可フローです。

OpenID Connect

OAuth 2.0へ本人確認を追加し、署名付きIDトークンからユーザーの認証結果を安全に受け取ります。

SPECIFICATION

JSON Web Token (RFC 7519)

JSON Web Token (JWT)

OpenID Connect

OAuth 2.0へ本人確認を追加し、署名付きIDトークンからユーザーの認証結果を安全に受け取ります。

OIDC Hybrid

Authorization Endpointからcodeと一部トークンを組み合わせて返し、フロントチャネルとバックチャネルを併用する高度なOIDCフローです。

SPECIFICATION

OAuth 2.0 DPoP (RFC 9449)

OAuth 2.0 Demonstrating Proof of Possession

SPECIFICATION GUIDE

DPoP Proof JWT · Public-key Binding · dpop+jwt

アクセストークンをClientの公開鍵へ結び付け、盗まれたBearer Tokenの第三者による再利用を防ぐSender-Constrained Token仕様です。

Read specification →

SPECIFICATION

SAML 2.0

Security Assertion Markup Language 2.0

SPECIFICATION GUIDE

Identity Provider · Service Provider · SAML Assertion

Identity ProviderとService Providerの間で認証・属性・認可判断をXML Assertionとして交換する、企業SSOで広く使われる仕様です。

Read specification →

SPECIFICATION

SCIM 2.0 (RFC 7644)

System for Cross-domain Identity Management: Protocol