OAuth2.0 キーワード

OAuthの概要

シンプルにキーワードの説明を中心に。

委譲のプロトコル。具体的にはトークンの使用方法、トークンの受け渡し方法を定める。

OAuthに関わる登場人物

- リソース所有者
システムを使用しているユーザー

- クライアント（アプリケーション）
ユーザーが操作しているシステム、アプリ、ブラウザ

- 保護対象リソース
ユーザーのものへアクセスするためのAPI

- 認可サーバー
OAuthのトークンを発行したりするHTTPサーバー

以上の構成要素が直接的なHTTP通信（バックチャネル）、間接的なHTTP通信（フロントチャネル: ブラウザを介してクライアントと認可サーバーガスリダイレクトを行い合う）でやりとりを行う。

その他のキーワード

- アクセストークン
クライアントが認可サーバーから受け取るもの。保護対象リソースへ何が行えるかの権限が記載されている。期限がある。

- スコープ
アクセストークンに付与するアクセス権の範囲を制限する手段。保護対象リソースへのアクセス権を制御できる。

- リフレッシュトークン
再度アクセストークンを取得するためのトークン。アクセストークンと分離することでセキュリティ向上。

- OIDC
OAuthの認可フローの中でとIDプロバイダー（Google等）が発行するIDトークンをアクセストークンと一緒に受け渡しする。本人確認の認証をIDプロバイダーが行う。受け渡しが行われるIDトークンの形式をJWTという。