プロトコルマニアックス～ OAuth 2.0OpenID ConnectFIDO 2.0SAML 2.0 違いと用途

1. Session ID:SEC010
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2. SAML 2.0
OAuth 2.0
OpenID Connect
FIDO 2.0

4. Protocol AD DS AD FS Azure AD
Kerberos, NTLM, LDAP v3 2000 ～ Azure AD DS
WS-Federation 2012 ～ ○
SAML 2.0 2012 ～ ○
OAuth 2.0 auth code grant, public client 2012 R2 ○
OpenID Connect 2016 ○
OAuth 2.0 implicit grant 2016 ○
OAuth 2.0 auth code grant, confidential client 2016 ○
OAuth 2.0 client credential grant 2016 ○
OAuth 2.0 on behalf of 2016 ○
FIDO 2.0（Windows Hello）/Windows 10 2016 ○

6. IdP が判断

7. https://login.microsoftonline.com/common/FederationMetadata/2007-06/FederationMetadata.xml

8. Google+

10. • API 利用権限を委譲（認可）するためのプロトコル
• “私” → “クライアント（アプリケーション）”

11. OAuth-
Authorization
OAuth-Token
Azure AD Graph
APP

12. 健康保険証
本人のものかどうか
確認しようがない
→ RP側が困惑する

13. ≠ OpenID 2.0
OAuth-
Authorization
OAuth-Token
Azure AD Graph
APP

14. WEB アプリ
• SAML 2.0/WS-Federation または OpenID Connect / Oauth 2.0 どちらでも
ブラウザ
1
2
Oauth-
Authorization
WEB APP Oauth-
Token
3
4
Azure AD
Cookie
認証
AuthZ Code
OpenID Connect には続きがあります（次ページ）
Azure AD Graph

15. ブラウザ
Oauth-
Authorization
WEB APP
Oauth-
Token
Azure ADAuthZ Code
Azure AD Graph
5
Refresh Token
Access Token
User Info
6
7
8
ID Token
ID Token

16. Azure AD
Browser Web AppOAuth-
authorize
OAuth-
token
graph
Navigate to your application
Post authN token and authZ code to your application’s redirect URL
No session,
send authN
request
Verify
token
signature
302 redirect for sign in
OpenID Connect request
(user signs in)
Set cookie and return user to page they started on
Redeem authZ code
Return access token and refresh token
Call the Graph API
OpenID Connect ログオンフロー

18. OpenID Connect による
Identity Federation
OpenID Connect の use case

20. https://w3c.github.io/webauthn/
堅牢にユーザー認証を行うために、強度が高く、暗号化された Scoped（特定
のWEBアプリに対する）Credential を作成するめのAPIに関する仕様
• Registration
• makeCredential()
• Authentication
• getAssertion()

21. PIN
生体ネットワーク
を流れない
展開の必要なし
サーバーに渡す
展開が面倒

22. word
*******

24. PC
PIN
PC 固有の情報であるため、「本人だけが
持っている」ものの1つとも言える
サインイン要求
署名
要求送信
署名チェック
Primary
Refresh
Token
Kerberos の TGT に相当
するトークン
対象キー

25. PC
PIN
サインイン要求
署名
要求送信
署名チェック
Primary
Refresh
Token
PC 固有
Kerberos の TGT に相当
するトークン
対象キー

26. 秘密鍵を所有しているユーザー
秘密鍵を取り出すための
PIN/生体情報 を持っている
秘密鍵を所有しているデバイス
秘密鍵を格納している
＊＊＊＊＊
ロック解除
認証機構

27. 秘密鍵を所有しているユーザー
秘密鍵を取り出すための
PIN/生体情報 を持っている
出張先のデバイス
（AAD/ADドメイン参加済）
＊＊＊＊＊
ロック解除ロック解除
認証機構