OAuth & OIDC 勉強会 【入門編】 【アクセストークン編】の続編です。

OAuth 2.0 / OIDC のフローの中でも、ユーザーの環境を経由する「認可リクエスト（認証リクエスト）」とそのレスポンスにおける、関連仕様とその実装について、OAuth 2.0 & OpenID Connect をフルスクラッチ実装したエンジニア（株式会社 Authlete 代表）が解説します。

#1 イントロダクション

Watch on YouTube

• 前提知識
• 「認証リクエスト」と「認可リクエスト」
• リクエストパラメーター一覧

#2 リクエストオブジェクト

Watch on YouTube

• リクエストオブジェクト
• Financial-grade API (FAPI) Part 2
• Client Initiated Backchannel Authentication Flow
• Pushed Authorization Requests for OAuth 2.0 (PAR)
• メタデータ

#3 リダイレクション

Watch on YouTube

• 認可レスポンス
• リダイレクション URI の利用・登録・検証に関する要求事項
• RFC 6749 / OIDC /FAPI のどれに基づいて検証を行うかの動的な判定
• Authlete の実装

#4 app2app

Watch on YouTube

• 特徴
• シーケンス
• オープンバンキングとの関係

#5 レスポンスモード

Watch on YouTube

• response_type と response_mode の組み合わせ
• OAuth 2.0 Form Post Response Mode
• JWT Secured Authorization Response Mode for OAuth 2.0 (JARM)
• Detached Signature

#6 クレーム

Watch on YouTube

• claims リクエストパラメーター
• クレーム要求の形式
• サーバーメタデータ

#7 ユーザーの識別・認証

Watch on YouTube

• 識別対象となるユーザーの指定
• 認証に関する条件・方式等の指定
• 英国オープンバンキングプロファイルと FAPI

#8 ユーザーインターフェース・セキュリティ・その他

Watch on YouTube

• UI 言語 / 表示方法
• Proof Key for Code Exchange by OAuth Public Clients (PKCE) / state / nonce
• OAuth 2.0 Rich Authorization Requests (RAR) / Resource Indicators for OAuth 2.0