「雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本」感想 - msksgm’s blog
概要 「雰囲気で OAuth2.0 を使っているエンジニアが OAuth2.0 を整理して、手を動かしながら学べる本」を読みました。 感想を記述します。 authya.booth.pm 感想 Auth 屋（@authyasan）さんが執筆している、OAuth、OIDC 関連の書籍の一冊目です。 OpenIDConnect は解説せず、続編の「OAuth、OAuth 認証、OpenID Connect の違いを整理して理解できる本」にて述べられています。 なので内容は OAuth（OAuth2.0）とは、OAuth に登場する用語、OAuth のグラントタイプ、チュートリアルとなっています。 100 ページほどで、簡潔にまとめられた内容で、非常にわかりやすかったです。 認可コードグラントのフローを逐次詳細な説明とチュートリアルがあったので、タイトル通り「雰囲気」だった部分を整理することができ
「挫折しない OAuth / OpenID Connect 入門」のポイント - Authlete
このビデオについて このビデオは、2021 年 10 月 6 日に開催された 「挫折しない OAuth / OpenID Connect 入門」の理解を深める会 のプレゼンテーション録画です。 2021 年 9 月 18 日発売の「Software Design 2021 年 10 月号」では、OAuth/OIDC が特集され、「挫折しない OAuth/OpenID Connect 入門・API を守る認証・認可フローのしくみ」と題し、Authlete 代表の川崎貴彦が寄稿しました。 本プレゼンテーションでは記事のポイントや、理解を深めるために重要なポイントについて、著者の川崎がお話しします。 文字起こし はじめに 目次 記事の第1章、第2章、第3章は、こういう目次になっています。 ここからピックアップして、 こんなことを話してます、というところを、 紹介したいと思います。 自己紹介 Au
全員がOAuth 2.0を理解しているチームの作り方 #devio2021 | DevelopersIO
DevelopersIO 2021 Decade で「全員がOAuth 2.0を理解しているチームの作り方」というテーマで話させていただきました。 スライド 話した内容 なぜ人類は OAuth 2.0 に入門し続けるのか なぜ OAuth 2.0 をチームに根付かせたいのか 開発フローとしてコードレビューがある 仕様がわからないと、レビューができない コードと仕様のすり合わせのために仕様が分かる必要がある OAuth 2.0 はまあまあややこしい OAuth 2.0 では登場人物が4人いて、それぞれがいろんなやりとりをします。 それぞれのやりとりにパラメーターがあるので、誰が誰にどういう値をどうして送る、みたいなところまで考えるとまあまあややこしいのですが、このややこしいシーケンスを完全に頭に入れると学習がスムーズに進むと思います。 勉強会について 以下をゴールに設定しました。 各ロール
ID連携の標準化仕様紹介とセキュアな実装のためのアプローチ ~ 2021 - r-weblife
おはようございます ritou です。 久々に「解説付きスライド全公開」的なやつをやります。 先月、チーム内でID連携のための標準化仕様に関する勉強会(私が一方的に話す会)を行いました。 が、実際はだいぶグダグダになってしまい、これはその後色々付け足してるうちに別物になってしまった資料です。 内容としては、ID連携のための標準化仕様にどのようなものがあるかを知ってもらうための「入門編」のような立ち位置で作りました。 OpenID Connect(やSAMLのような) ID連携のための標準化仕様を紹介しようと思うと、ついつい個別にシーケンスやリクエスト/レスポンスの説明を始めがちですが、初学者が気になるのはそんな細けぇことではないでしょう。 まずは「この仕様で何ができるようになるのだろう」「この仕様では何を実現したいんだろう」と言うところから理解していくのが良いのではないでしょうか。 そこで
OAuth認証とは何か?なぜダメなのか - 2020冬 - r-weblife
こんばんは。ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2020 1日めの記事です。 qiita.com 初日なのでゆるふわな話をしましょう。 何の話か もうだいぶ前ですね。9月のお話です。こんなTweetを見かけました。 社内Slackにいる「OAuth認証」と書くと訂正してくれるbotが丁寧な解説をするようになっていた 認証(Authentication)と認可(Authorization)は間違えやすいわりにミスると甚大な被害をもたらしがちなので、常日頃から意識を高めていきたいですね pic.twitter.com/oVQxBgZcHS— greenspa (@greenspa) 2020年9月28日 このbotに対する思うところはもう良いです。 今回は、「OAuthの仕様に沿ってID連携を実装するいわゆる"OAut
トークンを利用した認証・認可 API を実装するとき Authorization: Bearer ヘッダを使っていいのか調べた - Qiita
トークンを利用した認証・認可 API を実装するとき Authorization: Bearer ヘッダを使っていいのか調べたAPIOAuthWeb TL;DR HTTP でトークンを利用した認証・認可をする手法として RFC 6750 がある OAuth に限らず、トークンを利用して認証・認可する機構の一部として Authorization: Bearer ヘッダを使うことができる 使い方について詳しくはこの記事の下のほうに書いた 要求 トークンを利用した認証・認可機構を持つ API を作りたい クライアントがトークンを HTTP リクエストに含めて送信し、サーバはトークンを検証してリソースへのアクセスを許可したい Authorization: Bearer トークン ヘッダでトークンを送る API あるよね、ああいうやつ 疑問 Authorization: Bearer ヘッダは OA
OAuth 2.0/OIDCに入門した開発者が仕様沼に潜るための次のステップとは？ - r-weblife
お疲れ様です、ritou です。 OAuth 2.0やOIDCの入門書(?)を読み終えた開発者の方に、仕様を理解していくための次のステップは何があるかを聞かれました。 そもそもそんなこと言う人は クライアントを実装したい(しなければならない) 認可サーバーを実装したい(しなければならない) セキュリティエンジニアを名乗っていてこの分野を抑えときたい ただ単純に興味がある : そんな人いる？ とかそんな感じな気はしますが、基本的なフローを乗り越えた先に広がる仕様沼への潜り方に戸惑っておられるようでした。 そこで、いわゆる RFC6749/6750/7636 あたりを完全に理解した開発者が山ほどある仕様にどう立ち向かっていくかを考えます。 仕様にも色々ある IETF の OAuth関連の仕様、いっぱいあります。密です。密です。みみみみみみみみ... tools.ietf.org 去年に一回まと
【個人開発】 技術書籍のレビューや「読みたい」を記録するサービスを作った - Qiita
サービス紹介 今年はお正月休みに何かテーマを決めて開発しようと思い、技術書籍のレビューサイトを作りました。 とはいえ実際に開発を始めてみたら大幅にお休みの期間をはみ出してしまい、毎日仕事の後に少しずつ進めていってやっとリリース出来るところまでたどり着いた形です。 techbooks - 素晴らしい技術に、出会おう。 techbooksといって、人気の技術書籍を集めた一覧からタグで検索したり「読んだ」書籍の感想を書いたり「読みたい」書籍をまとめたりすることが出来ます。 また、タグや書籍は人気順にソートされているので人気のジャンルやその書籍が簡単にわかるようになっています。現在3000冊以上掲載中です。 読んだ技術書の記録を残しておけるようなサービスが欲しいと思っていたので作りました。 ここでは利用している技術スタックや開発中に感じたことなどまとめてみようと思います。 開発に要した期間 サービ
GCP と OAuth2
はじめにGCP のサービスにプログラムからアクセスするためには必ず認証・認可が必要ですが、以下のような様々なコマンドや概念が出てくるので少しとっつきにくい印象があります。 gcloud auth logingcloud auth application-default loginService AccountApplication Default Credentialsこれらの概念は認証・認可のベースとなっている OAuth2 の文脈で眺めてみると全体像が理解しやすくなるので、本記事でまとめてみたいと思います。 GCP での認証・認可GCP の認証・認可は一部(*)を除いて全て OAuth2 ベースでやり取りされています。(* API Key) OAuth2 は三者間の手続きです。 3-Legged OAuth2Client が Resource Owner の代わりに Resource
OAuth 2.0の認可権限無効化の仕様 - 理系学生日記
OAuth 2.0 のプロバイダを作るんだったら、もしかして認可権限の取消画面も作らないといけないのかしら〜〜〜〜(ほげ〜〜〜〜)と思って調べてたら、その revoke の仕様も RFC で仕様化されていることを知りました。 これにより、必ずしも取消画面を作らなくて良いということにはなりませんが、API として公開することは容易そうなので心をなでおろしています。 RFC 7009 - OAuth 2.0 Token Revocation OAuth 2.0 (RFC 6749) では認可サーバ側での認可権限の無効化について触れられていますが、RFC 7009 で触れられているのは、クライアントからの権限の無効化です。 Twitter における「アプリ連携」メニューでは、個々のアプリケーションに対して「許可を取り消す」というボタンが存在していますが、あれを仕様化したものと理解すれば良い。 ト
OpenID BizDay で金融 API の動向について聞いてきた - TMD45'β'LOG!!!
BizDay は開発者向けではないと分かった上で、普段利用しているソーシャル API とどのくらい違うのか、というのを知りたくて参加した。 分からない単語が多かったので、いろいろ引用とか補足多めの自分用メモ。まとまらない。 OpenID BizDay #10 - 金融 API 時代の OAuth 2.0 & OpenID Connect (と、CIS 2017報告会) | Peatix OpenID BizDay #10 - 金融 API 時代の OAuth 2.0 & OpenID Connect (と、CIS 2017報告会) | お知らせ | OpenID ファウンデーション・ジャパン 前回の参加（Tech Night）は、もう 2 年も前なのか…時間の流れが早い… blog.tmd45.jp OpenID Certification については、どこで聞いたんだったか…？ 前提 E
Securing Microservices (Part I) – FACILELOGIN
The Service Oriented Architecture (SOA) introduced a design paradigm, which talks about a highly decoupled service deployment where the services talk to each other over the network with a standardized message format, in a technology agnostic manner, irrespective of how each service is implemented. Each one of them has a well defined, published service description or a service interface. In practic
一番分かりやすい OAuth の説明 - Qiita
はじめに 過去三年間、技術者ではない方々に OAuth（オーオース）の説明を繰り返してきました※1,※2。その結果、OAuth をかなり分かりやすく説明することができるようになりました。この記事では、その説明手順をご紹介します。 ※1：Authlete 社の創業者として資金調達のため投資家巡りをしていました（TechCrunch Japan：『APIエコノミー立ち上がりのカギ、OAuth技術のAUTHLETEが500 Startups Japanらから1.4億円を調達』）。Authlete アカウント登録はこちら！ ※2：そして２回目の資金調達！→『AUTHLETE 凸版・NTTドコモベンチャーズ・MTIからプレシリーズA資金調達』(2018 年 2 月 15 日発表) 説明手順 （１）ユーザーのデータがあります。 （２）ユーザーのデータを管理するサーバーがあります。これを『リソースサーバ
Big Sky :: ログイン認証をマイクロサービス化する「loginsrv」
認証を持たないウェブアプリケーションをいざ認証に対応させようと思うと案外面倒でモチベーションを無くしてしまうなんて事もよく起きうる話です。特に社内向けのアプリケーションを作っていたら本番で使う事になってしまって、なんて話は良くある話です。開発で本番 DB を見るのはちょっと...。でも既存のコードをゴリゴリと触りたくない。そんな場合にログイン認証部分だけマイクロサービス化できると気持ちも幾分和らぎます。今日はそんなちょっと便利なサーバ「loginsrv」を紹介したいと思います。 GitHub - tarent/loginsrv: JWT login microservice with plugable backends such as OAuth2, Github, htpasswd, osiam loginsrv is a standalone minimalistic login se
OAuthアクセストークンを使ってAzure Storageにアクセスする - Qiita
概要 OAuthアクセストークンを使ってMicrosoft Azureにアクセスするでは Swagger で生成したクライアントで OAuth アクセストークンを利用する方法を紹介したが， 本記事では，Azure Storage SDK for Go を利用する方法を紹介する． API アクセスキー Azure Storage SDK のクライアントはアクセストークンではなく，アクセスキーを必要とする． このアクセスキーは Storage API ではなく，Storage Accounts API 経由で取得する． また，Storage API は Azure Storage SDK からアクセスできるが，Storage Accounts API はアクセスできないので， 例によって Swagger を使って Azure REST API Specifications からバインディングを
Microsoft Azureを利用するデスクトップアプリのデバイス認証 - Qiita
概要 Go から Microsoft Azure を利用する場合，アクセストークン使用する． このアクセストークンの取得には複数の方法が用意されているが， CLI コマンドでも利用されているデバイスコードを用いた認証方法についてまとめる． アプリケーションの登録 認証プロセスで必要となるクライアント ID を取得するために， Azure ポータルにてアプリケーションの登録を行う． アプリの登録は，ポータルのセキュリティ + ID カテゴリにある「アプリの登録」から行える． 今回作成するのは，デスクトップアプリケーションなので，アプリの種類としてネイティブを選ぶ． リダイレクト URL は文字列として有効な URL であれば適当で良いので， 例えば，http://localhost:18230 などとしておく． デバイスコードの取得 デバイスコードの取得には， https://login.m
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
英国オープンバンキング技術仕様の概要
世界一わかりみの深いOAuth入門
認証と認可の超サマリ OAuth とか OpenID Connect とか SAML とかをまとめてざっと把握する本
Keycloak - Blog - Keycloak 10.0.0 released