OpenID Connect Self-issued OP は自己署名 ID トークンを発行する、ユーザ個人の自己 OpenID プロバイダ。

ユーザが利用する端末やブラウザ上で動作し、自己署名 ID トークンを発行することで、

を実現する。

ユーザの端末でユニークな鍵ペアを生成・保存・管理する。ID トークンに公開鍵が含まれているので、改ざんされていないかを検証できる。
また、公開鍵のハッシュのようなものを識別子として扱うので、SIOP が動作する端末やブラウザの識別ができる。

SIOP の場合、ユーザの端末やブラウザが認証サーバ・リソースサーバとなり、Web アプリなどのバックエンドサーバがクライアントとなる。

フロー

Implicit Flow と同様のフロー。
認可リクエストを受けたら、自己署名された ID トークンを返す。

なお、事前に鍵ペアの生成とバックエンドサーバへの公開鍵の登録が行われている。

ID トークン

OpenID Connect Self-Issued IdPを応用したSingle Sign Onの実装

キラーアプリを SIOP にして、他アプリは SIOP に認証をリクエストすることでシングルサインオンを実現。