OpenID Connectとは？

OpenID Connectの意味

OAuth 2.0を土台に、認証結果を表すIDトークン（JWT形式で署名付き）を追加した認証の仕様。SAMLと同様のフェデレーションをHTTP／JSONベースで実現し、モバイルアプリとの親和性が高い。

OpenID Connectの具体例

会員サイトにスマホアプリを追加する際、SAMLではなくOpenID Connectを採用した。IDトークンのiss・aud・nonceと署名を必ず検証し、有効期限は10分に設定。アクセストークンを認証の証拠に流用しないことを実装規約へ明記した。

OpenID Connectは試験でどう引っ掛けられる？

OAuth 2.0と役割が逆転しやすい。OAuth 2.0は認可（API利用の委譲）の枠組み、OIDCがその上に載せた認証の仕様。認証の証拠になるのは署名付きのIDトークンであって、アクセストークンを「ログインした証拠」に流用してはいけない（トークンすり替え攻撃が成立する）。

OpenID Connectと関連する用語

• OAuth 2.0
• JWT
• SAML

OpenID Connectが出た過去問

• OAuth 2.0に関する記述のうち、適切なものはどれか。

  正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

  要点：OAuth2.0は資格情報を渡さず権限だけを委譲する認可の仕組み

  OAuth 2.0は、リソースの持ち主が自分の資格情報をサービスに渡すことなく、限定した権限だけを第三者のアプリケーションに委譲するための認可のプロトコルである。リソースオーナーの同意を受けて認可サーバがアクセストークンを発行し、クライアントはそのトークンを提示してリソースサーバへアクセスする。利用者が誰であるかを確かめる認証の仕組みではなく、認証まで扱う場合はOpenID Connectを重ねて用いる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）

• OAuth 2.0に関する記述のうち、適切なものはどれか。

  正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

  要点：OAuth 2.0は認証ではなくアクセス権限を委譲する認可の仕組み

  OAuth 2.0は認可（アクセス権限の委譲）のためのプロトコルです。リソースオーナーが同意すると、認可サーバはクライアントに対してアクセストークンを発行し、クライアントはそのトークンの範囲内でリソースサーバのAPIを利用できます。利用者本人であることを確認する認証は本来の目的ではなく、認証を扱いたい場合はOAuth 2.0を土台に拡張したOpenID Connectを用います。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）