タイトル： 『OpenID ConnectとAndroidアプリのログインサイクル』 概要： 　GoogleやFacebook、Yahoo! JAPANの提供するOAuth、OpenID Connectのシングルサインオン（SSO）を利用する上でトークン、ログイン状態の管理が必要になります。ログイン、ログアウトに加えアプリによってはマルチアカウント利用やアカウント切り替えを必要とするケースもあります。スマフォアプリではネイティブ、WebViewでSSOの認証方法が異なり、実装パターンは多岐にわたります。 　これまでID連携の設計や実装サポートしてきたナレッジをもとに、AndroidアプリにおけるSSOからログイン状態の管理まで、アプリの要件にあった実装方法をご紹介します。 Developers Summit 2015 【19-C-5】 Feb. 19, 2015 URL: http://event.shoeisha.jp/devsumi/20150219/session/654

1. ヤフー株式会社 倉林林 雅
OpenID Connect and Login Cycle for Android Apps

2. 倉林林 雅（kura）
ヤフー株式会社 IDサービス エンジニア
OpenID ファウンデーション・ジャパン
エヴァンジェリスト
ID厨
@kura_̲lab

3. アジェンダ
ネイティブアプリはセッション管理理が⼤大変
ログインサイクルで⼤大事なこと
Androidはブラウザー経由でOpenID Connect
Growth!

4. ネイティブアプリは
セッション管理理が⼤大変

5. ID連携の実装パターン

6. ID連携とは

7. ID連携とは
異異なる組織間でユーザのID（アイデン
ティティ）データを連携し、サービスの
質の向上を図る仕組みのことです。
ID連携トラストフレームワーク（METI/経済産業省省）
http://www.meti.go.jp/policy/it_̲policy/id_̲renkei/

8. OpenID Connectや
OAuthによる連携

9. OpenID Connect

10. OpenID Connect
【memo】
2014年2月27日（日本時間）に
ローンチしてから1年が経つ。

11. http://openid.net/connect/
OpenID Connect

12. 2014.12.23 Yahoo! JAPAN Advent Calendar
知っておきたい7つのID連携パターン
http://techblog.yahoo.co.jp/web/auth/id_̲federation_̲impl_̲patterns/
【memo】
昨年末にID連携の実装パターンを紹介している。
今回全部紹介することはできないので
興味がある方は参照してほしい。

13. Webアプリ
1. スタンダードなブラウザーパターン
ネイティブアプリ
2. 推奨したいネイティブアプリとブラウザーパターン
3. 画⾯面遷移がシンプルなネイティブアプリと
WebViewパターン
4. フィッシング防⽌止なWebViewアプリとブラウザーパターン
5. WebViewアプリ完結パターン
ネイティブ・WebViewハイブリッドアプリ
6. 実装が⼤大変だけどより汎⽤用的なハイブリッドアプリと
ブラウザーパターン
7. 汎⽤用的なハイブリッドアプリとWebViewパターン

14. Webアプリ
1. スタンダードなブラウザーパターン
ネイティブアプリ
2. 推奨したいネイティブアプリとブラウザーパターン
3. 画⾯面遷移がシンプルなネイティブアプリと
WebViewパターン
4. フィッシング防⽌止なWebViewアプリとブラウザーパターン
5. WebViewアプリ完結パターン
ネイティブ・WebViewハイブリッドアプリ
6. 実装が⼤大変だけどより汎⽤用的なハイブリッドアプリと
ブラウザーパターン
7. 汎⽤用的なハイブリッドアプリとWebViewパターン

15. Webアプリ
スタンダードなブラウザーパターン

17. リダイレクト処理理

18. 認証⽤用トークンを検証

19. ブラウザーにCookie発⾏行行・サーバーにトークンを保存

20. ブラウザーにCookie発⾏行行・サーバーにトークンを保存
【memo】
Cookieを発行してトークンを保存する。
Webの場合、トークン・Cookieの管理は
それほど難しくはない。

21. ネイティブアプリ
推奨したいネイティブアプリと
ブラウザーパターン

23. リダイレクト処理理

24. 認証⽤用トークンを検証

25. アプリにトークンを保存

26. アプリにトークンを保存
【memo】
Cookieを発行する必要がないので
Webよりも管理は簡単。

27. ネイティブ・WebViewハイブリッドアプリ
実装が⼤大変だけどより汎⽤用的な
ハイブリッドアプリとブラウザーパターン

29. リダイレクト処理理

30. 認証⽤用トークンを検証

31. （アプリ内にトークンを保存）
WebView経由でページにアクセス

32. WebViewにCookie発⾏行行・サーバーにトークンを保存

33. WebViewにCookie発⾏行行・サーバーにトークンを保存
【memo】
ネイティブアプリからWebView経由でサーバー側にトークンを送信。
サーバー側ではCookieを発行して、トークンを保存しなければならない。
WebViewを利用すると管理が少し複雑になる。
しかし、多くのアプリでWebVIewが用いられている。
今回はWebViewを利用する際のトークン・Cookieの管理に
ついて説明をする。

34. OpenID Connectトークンの種類
アクセストークン
リフレッシュトークン
IDトークン

35. OpenID Connectトークンの種類
アクセストークン
リフレッシュトークン
IDトークン 【memo】
前述でIDトークンが登場してきたが、
OpenID Connect（以下、OIDC）では
3つのトークンが定義されている。

36. OpenID Connect, ふたつのトークンの物語
http://blog.openid.or.jp/post/12874061176/openid-‐‑‒connect-‐‑‒tale-‐‑‒of-‐‑‒two-‐‑‒tokens

37. OpenID Connect, ふたつのトークンの物語
http://blog.openid.or.jp/post/12874061176/openid-‐‑‒connect-‐‑‒tale-‐‑‒of-‐‑‒two-‐‑‒tokens
【memo】
アクセストークンとIDトークンの話について
興味がある方はこの翻訳ブログを参照してほしい

38. ネイティブ/WebView/バックエンドで
トークン/Cookieを保存

39. ネイティブ/WebView/バックエンドで
トークン/Cookieを保存
【memo】
ネイティブ側で処理をして、WebViewを経由して、
サーバー側にトークンを送信、保存。
WebViewをつかうといろいろ実装しなければならなくなる。

40. トークン・Cookieによる
セッション管理理が⼤大変

41. ログインサイクルで
⼤大事なこと

42. 未ログイン
状態
ログイン
状態
新規登録
ログアウト
アカウント
切切り替え
パスワード
再確認
ログイン
トークン
Cookie
有効期限切切れ

43. 未ログイン
状態
ログイン
状態
新規登録
ログアウト
アカウント
切切り替え
パスワード
再確認
ログイン
トークン
Cookie
有効期限切切れ
【memo】
ログイン状態・未ログイン状態の状態遷移図。
ログイン/ログアウト/アカウント切り替えなどユーザー
アクションで状態遷移するパターンと、トークン/Cookieの
有効期限切れで遷移するパターンがある。

44. ログイン時には…
Cookie…有効
アクセストークン…有効
リフレッシュトークン…有効
IDトークン…有効

45. ログアウト時には…
Cookie…無効
アクセストークン…無効?
リフレッシュトークン…無効?
IDトークン…無効?

46. Cookieの有効期限切切れ時には…
Cookie…無効
アクセストークン…有効? 無効?
リフレッシュトークン…有効? 無効?
IDトークン…???

47. トークンの有効期限切切れ時には…
Cookie…有効? 無効?
アクセストークン…無効
リフレッシュトークン…無効
IDトークン…???

48. アカウント切切り替え時には…
Cookie…無効
アクセストークン…???
リフレッシュトークン…???
IDトークン…???

49. トークンとCookieの
有効/無効の判断…難しい

50. IDトークンとは

51. IDトークンとは
【memo】
トークンとCookieの話を進める前に
OIDCにおいてIDトークンは重要な機能で
あるため簡単に説明をしておく。

52. http://www.slideshare.net/kura_̲lab/devsumi201413c5

53. http://www.slideshare.net/kura_̲lab/devsumi201413c5
【memo】
昨年2014年のデブサミでもIDトークンについて
説明をしているので参照してほしい。

54. IDトークンとは
issuer が audience のために
subject を認証したかを⽰示すトークン

55. IDトークンとは
issuer が audience のために
subject を認証したかを⽰示すトークン
Identity Provider

56. IDトークンとは
issuer が audience のために
subject を認証したかを⽰示すトークン
Relying Party

57. IDトークンとは
issuer が audience のために
subject を認証したかを⽰示すトークン
End-User

58. IDトークンとは
Facebook が SlideShare のために
kura を認証したかを⽰示すトークン

59. IDトークンとは
Yahoo! が GREE のために
kura を認証したかを⽰示すトークン

60. 発⾏行行時に検証して
IDトークンは
保持しなくてもよい

61. {
“iss”:”https://auth.yahoo.co.jp”,
“sub”:”123456789”,
“aud”:”abcdefg,
“nonce”:”xyz”,
“iat”:1291836800,
“exp”:1300819380
}
IDトークンの有効期限

62. IDトークンの有効期限
=IdPの有効期限

63. WebViewに発⾏行行するCookieの
有効期限は
アプリのポリシーで決めてよい
≠IDトークンの
有効期限
Cookieの
有効期限

64. トークンはCookieの
有効/無効にあわせる
ポイント！！

65. トークンはCookieの
有効/無効にあわせる
ポイント！！
【memo】
トークンを有効にすべきか無効にすべきか迷ったら
Cookieの状態に合わせると管理がシンプルになる。

66. ログアウト時には…
Cookie…無効
アクセストークン…無効
リフレッシュトークン…無効
IDトークン…保持しなくてよい

67. Cookieの有効期限切切れ時には…
Cookie…無効
アクセストークン…無効
リフレッシュトークン…無効
IDトークン…保持しなくてよい

68. Cookieの有効期限切切れ時には…
Cookie…無効
アクセストークン…無効
リフレッシュトークン…無効
IDトークン…保持しなくてよい
【memo】
ログアウトしてCookieは削除するが、バックエンドのバッチ
処理・オフライン処理でAPIを利用する場合はアクセス
トークン、リフレッシュトークンは無効化しない場合もある。
必ずしもトークンを無効化しなければいけないわけではない。
ユースケース次第。エンドユーザーからみて自然な振る舞いなら
よい。

69. トークンの有効期限切切れ時には…
Cookie…有効
アクセストークン…無効→再発⾏行行
リフレッシュトークン…無効→再発⾏行行
IDトークン…保持しなくてよい

70. アカウント切切り替え時は？

71. 無効化すると再発⾏行行が⼤大変なため
無効化せずにアカウントに
ひもづけて保持しておいてよい

72. アカウント切切り替え時には…
Cookie…別アカウントで発⾏行行
アクセストークン…保持
リフレッシュトークン…保持
IDトークン…保持しなくてよい

73. アカウント切切り替え時には…
Cookie…別アカウントで発⾏行行
アクセストークン…保持
リフレッシュトークン…保持
IDトークン…保持しなくてよい
【memo】
別のアカウント（ID）に切り替える場合には、そのIDで
Cookieを発行するが、切り替え前のIDのトークンは
無効化せずバックエンドでそれぞれのIDにトークンを
ひもづけて保持する。

74. Androidはブラウザー経由で
OpenID Connect

75. ブラウザー(Chrome)を利利⽤用してほしい

76. IdPのログインセッションを共有できる
WebViewでなく
ブラウザーを推奨する理理由

77. Yahoo!地図のログインフロー

78. Yahoo!地図のログインフロー
メニューを開く

79. Yahoo!地図のログインフロー
ログインを押下

80. Yahoo!地図のログインフロー
ブラウザーが起動

81. Yahoo!地図のログインフロー
ブラウザーが起動
【memo】
Yahoo! JAPANのアプリもブラウザー（Chrome）を
利用したログインフローを取り入れている。

82. ID
Taro セッション共有
ID
Taro
ID
Taro
ID
Taro
WebView
セッション
共有できない
Your
App
必ずログイン

83. ID
Taro セッション共有
ID
Taro
ID
Taro
ID
Taro
WebView
セッション
共有できない
Your
App
必ずログイン
【memo】
WebViewを利用するとWebView内にはIdP（Facebookや
Yahoo!）のCookieが存在せず未ログイン状態なので、
初回は必ずにログインすることになる。

84. ID
Taro セッション共有
ID
Taro
ID
Taro
ID
Taro
WebView
セッション
共有できない
Your
App
必ずログイン
【memo】
ブラウザーを利用すると既にブラウザー上にIdPにログイン
していれば、再度ログインする必要がないため
ID・パスワードを入力する手間が省けるメリットがある。

85. SSL通信・ドメインをみて
フィッシングでないことを確認できる
WebViewでなく
ブラウザーを推奨する理理由

86. WebView
SSL通信・ドメインを確認できない
フィッシング？暗号化通信
されている？

87. WebView
SSL通信・ドメインを確認できない
フィッシング？暗号化通信
されている？
【memo】
アプリ内のWebViewを用いてログインフォームを表示する
とアドレスバーが表示されず、SSL通信されているのか判断
できない。また、ID・パスワードを抜き取るフィッシングな
のかドメインがみれないため確認できない。

88. ブラウザー(Chrome)
SSL通信・ドメインを確認できる
暗号化通信
されている！
フィッシング
ではない！

89. ブラウザー(Chrome)
SSL通信・ドメインを確認できる
暗号化通信
されている！
フィッシング
ではない！
【memo】
ブラウザーを利用するとアドレスバーをみることができ
SSL通信されているか、ドメインをみてフィッシング
ではないかをユーザーが確認することができる。

90. WebViewをつかって
ログインするアプリが増えると
フィッシングを助⻑⾧長する可能性がある

91. WebViewをつかって
ログインするアプリが増えると
フィッシングを助⻑⾧長する可能性がある
【memo】
ブラウザーを利用するアプリが増えると、WebViewによるID・パスワード
を抜き取られるフィッシングの被害も減らせるかもしれない。

92. iOSアプリで
ブラウザーをつかうと…

93. UXを理理由にApp Storeの
審査でリジェクトされること
もありますが…

94. Androidアプリは
リジェクトされる可能性は低い

95. Androidアプリは
OpenID Connectと相性がよい！

96. ユーザーに安⼼心してもらえるように
ログインにはブラウザーを！

97. Growth!

98. 【memo】
IDに携わってから、いろいろな場面で成長していると感じることがある。
そのひとつはOpenID ファウンデーション・ジャパン（以下、OIDF-J）の
エヴァンジェリストになったことである。
!
OIDF-Jにはプロデューサーというポジションがある。アイドルマスターで
いうところのアイドル候補生がエヴァンジェリスト。プロデューサーが
無茶ぶりをしてくるがおかげで成長したと実感することがある。
!
成長するにあたって大事なのは周囲から期待されていることを理解し、
Mになって、たくさんの仕事を引き受けて挑戦し経験を重ねていくことだ
と思う。

99. ご清聴ありがとう
ございました。