❏背景

案件で認証周りを見る機会があったので詳細に理解したい
【GOAL】
とりあえず案件内で出てきたワードについて「内容」「違い」を理解する

SSO
OIDC
OAuth
※詳細な仕様ではなく、ざっくり仕組みを理解することに重点を置く

❏本題

◆OAuth（2.0）

権限の受け渡し=認可を行う仕組み
基本概念は以下

1.あらかじめ信頼関係を構築したサービス間で
2.ユーザの同意のもとに
3.セキュアにユーザの権限を受け渡しをする

★何ができるか

サービス間で認可情報を受け渡せると、あるサービスが別のサービスの情報を操作できるようになる。
これにより、例えば、instagramでfacebookでも同時に投稿できるようにするみたいなもの

★実現方法

ID/PWをクライアントに渡すのではなく、ある情報に対しての操作権限と有効期限等を定義したアクセストークンを渡すことにより
実現させている。
→ これにより、「リソースへの権限を持ったクライアントのみ」リソースを取得できる

★登場人物と流れ

ユーザ：一般ユーザ
認可サーバ：サービスプロバイダへのリソースへアクセスする権限を与えるサーバ
サービスプロバイダ：リソースを持っているサービス（例示でいうinstagram）
クライアント：サービスプロバイダの情報にアクセスしたいサービス（例示でいうfacebook）

一つ一つ見ていく

0.事前準備
　クライアントがサービス情報を登録し、cliant_id（クライアント識別子）を取得。
1.ユーザがクライアントに認可が必要なアクションを起こす
　例示の場合、facebookで投稿のようなもの。
2.クライアントが認可サーバに0で取得したcliant_idを付与して「認可要求」
　サービスプロバイダへのアクセストークンを渡す対象かをユーザに尋ねに行く。
「○○への権限を渡しますか？」画面の表出→サービスプロバイダのID/PWでログインののち、
　OK「認可承認」でアクセストークンを発行「認可成功」
3.クライアントがサービスプロバイダにアクセストークンを付与してリソースデータをリクエスト

◆OIDC

Open ID Connectの略
認可と認証をサポートした仕組み
※OAuthでも、アクセストークンを取得する際に認可サーバ経由で**「認証」していなかったっけ（ログインって書いたし）？
→ この認証はアクセストークンを取得するためだけのものであり、アクセストークンからではだれ（エンドユーザ）がサービスプロバイダにアクセスしているのかがわからない。**
仮に、その一回取得したアクセストークンを別のユーザが使用してアクセスしにかかってもリソースをとってこれてしまう
=大きな問題
このため、サービスプロバイダにアクセスしにかかる際に、毎回**「確からしいエンドユーザ」が「許可を得て」**いるのかを検証するにはOIDCの仕組みを利用しなければならない。 ...という自身の見解(ここがOAUthとの差分)

★何ができるか

GoogleのID連携などにより、GoogleのIDを使って別サービスにログインできたりできる

★実現方法

ある情報に対してのアクセストークンに加え、ユーザの本人証明としてID Tokenを渡すことで、実現させている。
→ これにより、「承認されたユーザ」が「リソースへの権限を持ったクライアントを使って」リソースを取得できる。

★登場人物と流れ

ユーザ：一般ユーザ
OpenIDプロバイダ：サービスプロバイダへのリソースへアクセスする権限とID Tokenを与えるサーバ
サービスプロバイダ：リソースを持っているサービス（例示でいうgoogle）
クライアント：サービスプロバイダの情報にアクセスしたいサービス

一つ一つみていく

0.事前準備
　クライアントがサービス情報を登録し、cliant_id（クライアント識別子）を取得。
1.ユーザがクライアントに認可が必要なアクションを起こす
　例示の場合、googleでログインのようなもの。
2.クライアントが認可サーバに0で取得したcliant_idを付与して「認可・認証要求」
　サービスプロバイダへのアクセストークンを渡す対象かをユーザに尋ねに行く。
「○○への権限を渡しますか？」画面の表出→サービスプロバイダのID/PWでログイン「認証」ののち、
　OK「認可承認」でアクセストークンとIDトークンを発行「認可・認証成功」
3.IDToken検証により改ざんがないかを確認
別ユーザがアクセストークンだけ取得してきた際に「別ユーザ」と認識できるように
アクセストークンとのマッピングで判断？（このあたりが理解しきれてないです）
4.クライアントがサービスプロバイダにアクセストークンを付与してリソースデータをリクエスト

◆SSO

Single Sign Onの略
一つのID/PWで複数のサービスに同時にログインする仕組み。
→ Aサービスでログイン処理を済ませたのち、Bサービスを開いたらすでにログインされている！（ログイン不要）

wip*

★実現方法

❏まとめ

それぞれの違い、関係性について