OpenID Connect

どんな仕組みか

OpenID Connect（OIDC）は、OAuth 2.0 の上に「本人確認（認証）」を足した仕組みです。OAuth 2.0 だけでは「何にアクセスしてよいか」しか分かりませんが、OIDC は「誰がログインしたのか」をきちんと伝えられます。

「Google でログイン」「Apple でログイン」といったソーシャルログインの認証部分は、この OIDC が担っています。

どう動くのか

認証が成功すると、認可サーバ（OIDC では IdP とも呼ばれる）はアクセストークンに加えて ID トークンを発行します。ID トークンは JWT 形式で、ログインしたユーザーの識別子や発行元などのクレームを含みます。

ID トークン（JWT）の中身の例（クレーム）
- iss: 発行者（誰が発行したか）
- sub: ユーザーの一意な識別子
- aud: 受け取るべきアプリ
- exp: 有効期限

アプリは ID トークンの署名と内容を検証し、「確かにこの IdP が認証したユーザーだ」と確認します。

他の方式との違い

OAuth 2.0 は認可（アクセス委譲）、OIDC は認証（本人確認）が主目的です。OIDC は OAuth 2.0 を土台にしているため、認証と認可を一貫した流れで扱えます。

• OAuth 2.0：アクセストークンで「権限」を渡す
• OIDC：ID トークンで「誰か」を伝える

使いどころ・注意点

自前で ID とパスワードを管理せず、外部 IdP に認証を任せたい場面に向きます。ソーシャルログインや、企業向けの SSO 基盤として広く使われます。

ID トークンは必ず署名と発行元（iss）、対象アプリ（aud）、有効期限（exp）を検証してから信頼します。検証を省くと、なりすましたトークンを受け入れてしまう恐れがあります。