OpenID Connect（オープンアイディーコネクト） とは？

OAuth 2.0に認証の仕組みを加えた標準。IDプロバイダーが発行するIDトークンをサービス側で検証し、どの利用者が認証されたかを確かめる。

ひよこ

OpenID Connectって、何をする仕組み？

ペンギン先生

IDプロバイダーという認証の担当から結果を受け取り、サービスへのログインに使う標準だよ。サービス側は利用者のパスワードを直接受け取らず、担当が認証した結果を確かめる。GoogleのOpenID Connectも、その実装の一つなんだ

ひよこ

OAuthとどう違うの？

ペンギン先生

OAuth 2.0はアプリにAPIを使う権限を渡す仕組みで、それだけではログインの認証を定めていないよ。OIDCはその上に、IDトークンや認証のリクエスト・検証のルールを加える。「認可」と「認証」の役割を分けて覚えると分かりやすいね

ひよこ

IDトークンには何が入っている？

ペンギン先生

JWT形式で、発行者、利用者の識別子、宛先、期限、発行時刻などが入るよ。メールアドレスや認証時刻が必ず全部入るわけではないんだ。利用者を安定して識別するときは、発行者を表すissと、その発行者内の識別子subの組み合わせを使うよ

ひよこ

受け取ったら、そのまま信用していい？

ペンギン先生

そのままではだめだよ。想定した発行者か、自分のサービス向けか、期限内かなどを確かめ、使うフローの規則に沿って署名やnonceも検証する。公式SDKや検証機能を正しく設定しよう。JWTの中身が読めることと、本物だと確認できることは別なんだ

ひよこ

IDトークンでAPIも呼び出せるのかな？

ペンギン先生

IDトークンはログインの認証結果をサービスへ伝えるもの。APIへのアクセスには、そのAPI向けのアクセストークンを使うよ。共通のIDプロバイダーとの連携はシングルサインオンの土台にもなるけれど、全サービスが自動でつながるわけではない。サービス側のセッションやアカウントの復旧も設計が必要だね

まとめ：ざっくりこれだけ覚えればOK！

「OpenID Connect」って出てきたら「外部の認証結果を確かめて、ログインに使う共通の仕組み」と思えばだいたいOK！

誤り・わかりにくい説明を報告する