OpenID Connect の認可コードフローを理解して使ってもらうための社内勉強会を開催しました

宮部侑弥

2023.03.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

prismatix事業部の宮部です。

私は prismatix 認証サービスという OpenID Connect と OAuth2.0 に準拠したID製品の開発をおこなっています。

弊社ではそれ以外でも Auth0 や Cognito だったりと OpenID Connect や OAuth2.0 に触れる機会というのは多くあると思っており、この辺りについての知識をより布教していきたいと常々感じていたこともあり今回勉強会を主催しました。

認可コードフロー勉強会募集

勉強会の内容

以下のルールで行いました。

週に２回、１時間ずつ開催
- 連休前などの明らかに人が少ない日はスキップ
ドキュメントを声に出して読む輪読会形式
オンライン開催で Google meet を使い、読む人が画面共有でドキュメントを映す
わからないことがあったら適宜聞く
わかる人が答える
足りないところがあったら寄り道して別のドキュメントも読む
１セクション終わったら再度疑問がないか確認する

資料と選定理由

勉強会で使った主な資料は2つです。

OpenID Connect Basic Client Implementer's Guide 1.0

こちらは日本語訳のある OpenID Connect Basic Client Implementer's Guide 1.0 - draft 37 を使用しました。

これは OpenID Connect の認可コードフローについて、Relying Party 側の要点を押さえたサブセット的なドキュメントになっていますが注意点が2つあります。

ドラフト版の仕様であること
日本語訳は 37 までしかないが、翻訳元は 42 まで出ており最新版ではないこと

選定理由

昨年 OpenID Connect Core 1.0 の輪読会が今回とほぼ同様の形式で開催されたのですが、ドキュメントの量が膨大であること、OpenID Provider と Relying Party 両方の要件が書かれているため上から読み進めていく方式だと理解がしにくい印象を受けました。（ Relying Party を開発する人の方が多いと思っています）

また、ドラフト版であり日本語訳版は最新ではないという部分に関しては、事前に私が読んだところ特に大きな違和感のある部分がなかったことと、参加者の中には前回の OpenID Connect Core 1.0 の輪読会が数名いたので読み進めていく中でケアができると考えました。

以上のことから、今回は最もオーソドックスな認可コードフローであり、Relying Party の視点にのみ絞ったこのドキュメントを採用しました。