1. OIDC (OpenID Connect)
について解説③
発表者：トビウオ

2. 目次
• OIDC (OpenID Connect) の利点
• OIDCの通信手順
• HTTP通信、curlコマンドについておさらい
• OIDC クライアントの処理 (curl編)

3. OIDCがないとき
ユーザー
1. ログイン操作
クライアント
4. サービス提供
ユーザー情報を持つサーバー
2. ユーザー認証処理
3. ユーザー情報
を返す
クライアントが自前
でユーザー認証処理
を行う必要がある
OIDCがないときの処理
画像出典：各公式サイト、いらすとや

4. ユーザー
OIDCがあるときの処理
画像出典：各公式サイト、いらすとや
1. ログイン操作
クライアント
4. サービス提供
認可サーバー・リソースサーバ
ー
2. ユーザー認証
処理を委譲
3. ユーザー情報
を返す
クライアントはユー
ザー認証処理を他に
任せられる
OIDCがあるとき

5. ここでのポイント
• 認証する部分、認証してユーザーデータを持っ
てくる部分を、OIDCのサーバーが代わりにやっ
てくれる
• クライアントからすると「IDとパスワードの入
力フォーム」すら実装しなくていい

6. ユーザー
認可サーバー
2. 認可リクエス
ト
認可コードフローの仕組み
画像出典：各公式サイト、いらすとや
1. サービス提携
を許可する
3. ログイン画面
にリダイレクト
クライアント
ログイン画面
4. ログイン操作
5. 認証情報を送る
6. 認可
トークンを送る
OIDCの通信手順

7. ユーザー
認可サーバー
7. 認可トークン
を元にアクセス
トークンを要求
11. アクセストークンの
正当性を返答
クライアント
リソースサーバー
10. アクセストークンの検証を要
求
8. アクセス
トークンを送る
9. アクセストークンを
元にリソースを要求
12. リソース
を返す
13. サービスを提供
OIDCの通信手順

8. • クライアントが行う操作は次の3つ
• 認可リクエストを行い認可トークンを入手
• 認可トークンを元にアクセストークンを要求
• アクセストークンを元にリソースを要求
ここでのポイント

9. • ユーザーが行う操作は次の3つ
• 認可リクエストを行い認可トークンを入手
• 認可トークンを元にアクセストークンを要求
• アクセストークンを元にリソースを要求
ここでのポイント
curlで操作するところ
Webブラウザで
操作するところ

10. HTTPとは？
Webクライアン
ト
Webサーバー
2. HTTPレスポンスを返す
1. HTTPリクエストを送る
• 図にするとこんな感じ
• 一種のキャッチボール

11. HTTPとは？
Webクライアン
ト
Webサーバー
2. HTTPレスポンスを返す
・HTTPレスポンスコード
・レスポンスヘッダー
・レスポンスボディ
1. HTTPリクエストを送る
・HTTPメソッドの種類
・URL (GETパラメーター含む)
・リクエストヘッダー
・リクエストボディ

12. ここでのポイント
• リクエスト1回にレスポンス1回が対応する
• ヘッダーなどに様々な情報を載せられる
• 「HTTPメソッド」＝どの種類の通信をするか

13. curlとは？
• cURLと書くこともある
• HTTP通信などをターミナル上で送信できる標準
的なツール
• 先ほどのスクショもcurlコマンドの結果をコピペ
したもの

14. curlとは？
# もっとも基本的なHTTPリクエスト (www.example.comにGETリクエスト)
curl www.example.com
# -Xオプションで、GET以外のHTTPメソッドを使用できる
curl -X PUT www.example.com/login
# -Hオプションで、好きなHTTPヘッダーを追加できる
curl -H “Authorization: Bearer xxx-yyy-zzz” www.example.com/sample
# -dオプションで、リクエストボディに入れて送る情報を指定できる
curl -d “first-name=hitori“ -d “last-name=goto” www.example.com/users/add

15. • サンプルとなる接続先の情報
項目名 内容
認可/リソースサーバー Keycloak, 18080ポート
レルム myrealm
クライアントID sample-client
コールバックURL http://loocalhost:8080/*
クライアント シークレット client-password
curlによるOIDC

16. curlによるOIDC
• 通信の流れを確認するため、curlコマンドを使う
• まずは次のURLにアクセスする
http://localhost:18080/realms/sample-realm/protocol/openid-
connect/auth
?response_type=code
&client_id=sample-client
&redirect_uri=http://localhost:8080/oidc
&scope=openid%20profile%20email

17. curlによるOIDC
http://localhost:18080/realms/sample-realm/protocol/openid-
connect/auth
?response_type=code
&client_id=sample-client
&redirect_uri=http://localhost:8080/oidc
&scope=openid%20profile%20email
• GETパラメーターが長いので改行した
• %20は「半角空白」という意味
• 通信に必要な情報を渡していることが分かる

18. curlによるOIDC
• URLが示す先のWeb
ページに行くと、認
可サーバーにおける
ログイン画面が表示
される

19. curlによるOIDC
• ログインに成功すると、リダイレクト先に指定
したURLに遷移する。正確なURLはこんな感じ
• リダイレクト先のWebページにJavaScriptを設定
していれば、これらの情報が読み取れる
http://localhost:8080/oidc
?session_state=＜セッション(接続状態)を表す文字列＞
&code=＜認可トークンを示す長い文字列＞

20. curlによるOIDC
• 先ほどの情報から、アクセストークンを要求す
るリクエストをPOSTで送信する
curl -d “grant_type=authorization_code
&code=＜認可トークンを示す長い文字列＞
&redirect_uri=http://localhost:8080/oidc
&client_id=sample-client
&client_secret=＜クライアントシークレットの文字列＞"
http://localhost:18080/realms/sample-realm/protocol/openid-
connect/token

21. curlによるOIDC
curl -d “grant_type=authorization_code
&code=＜認可トークンを示す長い文字列＞
&redirect_uri=http://localhost:8080/oidc
&client_id=sample-client
&client_secret=＜クライアントシークレットの文字列＞"
http://localhost:18080/realms/sample-realm/protocol/openid-
connect/token
• redirect_uriは先ほどと同じ意味
• 通信に必要な情報を渡していることが分かる

22. curlによるOIDC
• 要求に成功すると、
アクセストークンな
どがJSON形式で送
り返されてくる (長
文注意)
{
“access_token":＜アクセストークン＞,
“expires_in":300,
“refresh_expires_in":1800,
“refresh_token":＜リフレッシュトークン＞,
“token_type":"Bearer",
“id_token":＜IDトークン＞,
“not-before-policy”:0,
“session_state":＜セッションの状態＞,
"scope":"openid email profile”
}

23. OIDCクライアントの実装
• それぞれの意味はこんな感じ (主要なもののみ)
{
“access_token":＜アクセストークン＞,
“expires_in":アクセストークンの有効期限,
“refresh_expires_in":リフレッシュトークンの有効期限,
“refresh_token":アクセストーク更新用のトークン,
“session_state":＜セッションの状態＞,
"scope":どの情報を取得できるかを表す
}

24. OIDCクライアントの実装
• 先ほどの情報から、リソースを要求するリクエ
ストをPOSTで送信する
curl -H "Authorization: Bearer ＜アクセストークン＞”
http://localhost:18080/realms/sample-realm/protocol/openid-
connect/userinfo

25. curlによるOIDC
• 要求に成功すると、
各種リソースが
JSON形式で送り返
されてくる
{
"sub":"089021d2-2988-48b7-81de-
bd20d86a61eb",
"email_verified":false,
"name":"John Smith",
"preferred_username":"user1",
"given_name":"John",
"family_name":"Smith",
"email":"john-smith@example.com"
}