OAuthとは

詳細な図解

OAuthを読むときの前提

OAuthは、パスワードを渡さずにアクセス権限を委任するための仕組みです。外部SaaS連携、API利用、モバイルアプリ、CLI認証、管理自動化で使われます。

実務では、認可コードフロー、PKCE、state、redirect URI、scope、access token、refresh token、client secret、同意画面、取り消し手順を確認します。

証跡には、client ID、redirect URI、scope、認可サーバー、トークン期限、refresh token保管先、同意者、取り消し手順、連携先APIを残します。

認証ではなく権限委任として見る

OAuthは「ログインの仕組み」と説明されがちですが、本質は権限委任です。ユーザーのパスワードを渡さず、特定scopeの範囲でAPIを使わせます。

ログイン用途で本人確認まで扱う場合はOIDCを使います。OAuthのaccess tokenだけを見て、ユーザー認証が完了したと判断しないようにします。

• scopeが業務用途に対して過剰でないか確認する。
• OIDCとの役割差を説明する。
• 同意画面の表示内容を確認する。

redirect URI、state、PKCEを固定する

認可コードフローでは、redirect URIの固定、stateによるCSRF対策、PKCEによるコード横取り対策が重要です。ワイルドカードや曖昧なredirect URIは危険です。

モバイルアプリやSPAでは、client secretを安全に保管できない前提でPKCEを使います。認可コードとtoken交換のログを分けて確認します。

• redirect URIを完全一致で登録する。
• state検証を確認する。
• PKCEのcode verifier/challengeを確認する。

refresh tokenと取り消しを見る

refresh tokenは長く効くことが多く、漏えい時の影響が大きくなります。保管場所、暗号化、ローテーション、失効、利用ログを確認します。

連携解除や退職、SaaS利用停止時にtokenを取り消せるかが運用上重要です。同意を消しても既存tokenが残る場合があります。

• refresh tokenの保管先を確認する。
• 取り消し手順を確認する。
• 連携棚卸しで未使用tokenを削除する。

変更証跡と引き継ぎ

OAuth対応では、client、scope、redirect URI、token期限、同意者、取り消し方法、連携先APIを残します。連携先の権限変更は業務影響と漏えい影響の両方に関係します。

引き継ぎでは、認証基盤担当、API担当、SaaS管理者、関連語としてOIDC、JWT、Token、Claimを残すと確認しやすくなります。

• scope変更の理由を記録する。
• client secretの保管先を残す。
• 連携解除時のtoken失効を確認する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能