OpenID Connect 1.0 仕様まとめ

OpenID Connect Core 1.0 に基づく要点整理。

RFC用語（RFC 2119）

概要

OpenID Connect（OIDC）は、OAuth 2.0プロトコルの上にシンプルなアイデンティティレイヤーを付与した認証プロトコル。

OAuth 2.0が「認可」のためのフレームワークであるのに対し、OIDCは「認証」を実現する。

用語

ID Token

OIDCの中核となる概念。認証イベントに関するClaimを含むJWT（JSON Web Token）。

ID Tokenの構造

ヘッダー.ペイロード.署名

JWTは3つの部分からなり、それぞれBase64URLエンコードされている。

必須クレーム（REQUIRED）

条件付き必須クレーム

オプションクレーム

署名と暗号化

3つの認証フロー

フロー選択ガイド

1. Authorization Code Flow

最も推奨されるフロー。トークンがUser Agentを経由しない。

sequenceDiagram
    participant U as End User
    participant UA as User Agent<br/>(Browser)
    participant RP as Relying Party<br/>(Client)
    participant OP as OpenID Provider

    RP->>UA: (1) Redirect to OP
    UA->>OP: (2) Authentication Request<br/>(scope=openid, response_type=code)
    OP->>U: (3) Authenticate & Consent
    U-->>OP: (4) Grant
    OP-->>UA: (5) Authorization Code
    UA-->>RP: (5) Redirect with Code
    RP->>OP: (6) Token Request<br/>(code, client_secret)
    OP-->>RP: (7) ID Token + Access Token
    RP->>OP: (8) UserInfo Request (OPTIONAL)
    OP-->>RP: (9) UserInfo Response

2. Implicit Flow

ブラウザベースのJavaScriptアプリケーション向け。

sequenceDiagram
    participant U as End User
    participant UA as User Agent<br/>(Browser)
    participant RP as Relying Party<br/>(JavaScript)
    participant OP as OpenID Provider

    RP->>UA: (1) Redirect to OP
    UA->>OP: (2) Authentication Request<br/>(response_type=id_token token)
    OP->>U: (3) Authenticate & Consent
    U-->>OP: (4) Grant
    OP-->>UA: (5) ID Token + Access Token<br/>(in URL Fragment)
    UA-->>RP: (6) Extract Tokens

注意: OAuth 2.1ではセキュリティ上の理由から非推奨。PKCE付きAuthorization Code Flowを使用すべき。

3. Hybrid Flow

Authorization Code FlowとImplicit Flowの特性を組み合わせたフロー。

sequenceDiagram
    participant U as End User
    participant UA as User Agent<br/>(Browser)
    participant RP as Relying Party
    participant OP as OpenID Provider

    RP->>UA: (1) Redirect to OP
    UA->>OP: (2) Authentication Request<br/>(response_type=code id_token)
    OP->>U: (3) Authenticate & Consent
    U-->>OP: (4) Grant
    OP-->>UA: (5) Code + ID Token<br/>(in URL Fragment)
    UA-->>RP: (6) Redirect with Code + ID Token
    Note over RP: ID Tokenで即座に認証確認可能
    RP->>OP: (7) Token Request (code)
    OP-->>RP: (8) Access Token + ID Token

認証リクエストパラメータ

必須パラメータ（REQUIRED）

推奨パラメータ（RECOMMENDED）

オプションパラメータ（OPTIONAL）

prompt パラメータの値

UserInfo Endpoint

認証されたユーザーに関するClaimを返すOAuth 2.0 Protected Resource。

要件

リクエスト例

GET /userinfo HTTP/1.1
Host: op.example.com
Authorization: Bearer SlAV32hkKG

レスポンス例

{
  "sub": "248289761001",
  "name": "Jane Doe",
  "given_name": "Jane",
  "family_name": "Doe",
  "email": "janedoe@example.com",
  "email_verified": true,
  "picture": "https://example.com/janedoe/me.jpg"
}

検証要件

標準クレーム（Standard Claims）

プロフィール関連

連絡先関連

address オブジェクト

{
  "formatted": "〒100-0001 東京都千代田区...",
  "street_address": "千代田1-1-1",
  "locality": "千代田区",
  "region": "東京都",
  "postal_code": "100-0001",
  "country": "JP"
}

注意事項

スコープとクレームの対応

セキュリティ考慮事項

TLS要件

リプレイアタック対策

CSRF対策

トークン置換攻撃対策

その他

OAuth 2.0との比較

関連仕様

参考資料

• OpenID Connect Core 1.0
• OpenID Connect Discovery 1.0
• OpenID Connect Dynamic Client Registration 1.0