OpenID Connect ディープダイブ — Authorization Code Flow から Discovery まで

+---------------------------------------------------------------+
| OIDC が追加したもの                                             |
|  - ID Token（署名付き JWT、認証結果の標準フォーマット）          |
|  - scope=openid と標準クレーム（sub, email, name...）           |
|  - Discovery (/.well-known/openid-configuration)                |
|  - JWKS（署名鍵の配布）、UserInfo エンドポイント                |
|  - nonce, max_age, prompt, acr など認証専用パラメータ           |
|  - RP-Initiated / Back-Channel Logout                           |
+---------------------------------------------------------------+
| OAuth 2.0 (RFC 6749) が提供するもの                             |
|  - authorize / token エンドポイントと grant フロー              |
|  - access token, refresh token                                  |
|  - クライアント登録と redirect_uri の検証                       |
+---------------------------------------------------------------+
| 基盤: HTTP + TLS, JWT (RFC 7519), JWS/JWK                       |
+---------------------------------------------------------------+

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "rsa-key-2026-05"
}

{
  "iss": "https://idp.corp.com/realms/prod",
  "sub": "f9a8b7c6-1234-5678-90ab-cdef12345678",
  "aud": "web-dashboard",
  "exp": 1781258400,
  "iat": 1781258100,
  "auth_time": 1781258095,
  "nonce": "n-0S6_WzA2Mj",
  "acr": "urn:mace:incommon:iap:silver",
  "azp": "web-dashboard",
  "email": "yj.kim@corp.com",
  "email_verified": true,
  "name": "Youngju Kim",
  "preferred_username": "yj.kim"
}

[ブラウザ]             [RP サーバー]              [OP]
    |                       |                       |
    |-- 1. GET /login ----->|                       |
    |                       |  2. state, nonce,     |
    |                       |     code_verifier 生成 |
    |<- 3. 302 OP /authorize へリダイレクト --------|
    |-- 4. GET /authorize ------------------------->|
    |<- 5. ログイン UI（SSO セッションがあれば省略）|
    |-- 6. 認証（passkey/MFA） -------------------->|
    |<- 7. 302 redirect_uri?code=...&state=... -----|
    |-- 8. GET /callback?code=...&state=... ->|     |
    |                       |  9. state を照合      |
    |                       |-- 10. POST /token --->|
    |                       |    (code+verifier)    |
    |                       |<- 11. トークン応答 ---|
    |                       |  12. id_token 検証、  |
    |                       |      nonce 照合       |
    |<- 13. セッションクッキー --|                  |

# state: CSRF 防御用（セッションに保存）
state=$(openssl rand -base64 32 | tr -d '=+/' | cut -c1-43)

# nonce: ID Token のリプレイ防御用（セッションに保存）
nonce=$(openssl rand -base64 32 | tr -d '=+/' | cut -c1-43)

# PKCE: code_verifier とその SHA-256 ハッシュである code_challenge
code_verifier=$(openssl rand -base64 64 | tr -d '=+/' | cut -c1-128)
code_challenge=$(printf '%s' "$code_verifier" \
  | openssl dgst -sha256 -binary | openssl base64 -A \
  | tr '+/' '-_' | tr -d '=')

GET /realms/prod/protocol/openid-connect/auth
    ?response_type=code
    &client_id=web-dashboard
    &redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
    &scope=openid%20profile%20email
    &state=af0ifjsldkj
    &nonce=n-0S6_WzA2Mj
    &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
    &code_challenge_method=S256 HTTP/1.1
Host: idp.corp.com

HTTP/1.1 302 Found
Location: https://app.example.com/callback
          ?code=SplxlOBeZQQYbYS6WxSbIA
          &state=af0ifjsldkj
          &iss=https%3A%2F%2Fidp.corp.com%2Frealms%2Fprod

POST /realms/prod/protocol/openid-connect/token HTTP/1.1
Host: idp.corp.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic d2ViLWRhc2hib2FyZDpzM2NyM3Q=

grant_type=authorization_code
&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

{
  "access_token": "eyJhbGciOiJSUzI1NiIs...",
  "token_type": "Bearer",
  "expires_in": 300,
  "refresh_token": "eyJhbGciOiJIUzUxMiIs...",
  "id_token": "eyJhbGciOiJSUzI1NiIs...",
  "scope": "openid profile email"
}

curl -s https://idp.corp.com/realms/prod/.well-known/openid-configuration

{
  "issuer": "https://idp.corp.com/realms/prod",
  "authorization_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/auth",
  "token_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/token",
  "userinfo_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/userinfo",
  "jwks_uri": "https://idp.corp.com/realms/prod/protocol/openid-connect/certs",
  "end_session_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/logout",
  "scopes_supported": ["openid", "profile", "email", "offline_access"],
  "response_types_supported": ["code"],
  "id_token_signing_alg_values_supported": ["RS256", "ES256", "EdDSA"],
  "code_challenge_methods_supported": ["S256"]
}

{
  "keys": [
    {
      "kid": "rsa-key-2026-05",
      "kty": "RSA",
      "alg": "RS256",
      "use": "sig",
      "n": "0vx7agoebGcQSuuPiLJXZpt...",
      "e": "AQAB"
    },
    {
      "kid": "rsa-key-2026-06",
      "kty": "RSA",
      "alg": "RS256",
      "use": "sig",
      "n": "zNf1a9pXkQpW3mLbV2c...",
      "e": "AQAB"
    }
  ]
}

curl -s https://idp.corp.com/realms/prod/protocol/openid-connect/userinfo \
  -H "Authorization: Bearer eyJhbGciOiJSUzI1NiIs..."

{
  "sub": "f9a8b7c6-1234-5678-90ab-cdef12345678",
  "name": "Youngju Kim",
  "email": "yj.kim@corp.com",
  "email_verified": true,
  "groups": ["sso-admins", "developers"]
}

ID Token 受信時（RP）:
[ ] 1. token エンドポイントの TLS 応答から受け取ったか
       （front-channel での受領は禁止）
[ ] 2. JWS header の alg が許可リスト（RS256/ES256/EdDSA）にあるか
       - alg=none を拒否、対称鍵（HS256）の混用を拒否
[ ] 3. kid で JWKS から鍵を見つけて署名検証
[ ] 4. iss == Discovery の issuer（文字列の完全一致）
[ ] 5. aud に自分の client_id が含まれる、複数 audience なら azp == 自分の client_id
[ ] 6. exp 未経過、iat が妥当な範囲（clock skew 60〜120 秒許容）
[ ] 7. nonce == セッションに保存した値（使用後は破棄）
[ ] 8. 再認証を要求した場合は auth_time/acr を確認
[ ] 9. アカウント突合は iss+sub の組み合わせで（email 突合は禁止）

Access Token 受信時（Resource Server）:
[ ] 1. 署名検証（JWT の場合）または introspection（opaque の場合）
[ ] 2. iss, exp の検証
[ ] 3. aud または resource indicator が「この API」かを検証
[ ] 4. scope が要求された操作を許可しているか確認
[ ] 5. 必要に応じて発行時刻ベースの失効ポリシーを適用