OAuth 2.0 は、他のサービスへ権限を安全に委ねるための仕組みです。
ログインで見かけることも多いですが、本来は 認可 のための仕組みで、認証そのものとは少し役割が違います。
まず押さえたいポイント
- 本来は認可の仕組み
- 別サービスへ権限を渡すときに使う
- 認証では OpenID Connect とセットで語られやすい
どんな場面で使うか
- 外部サービス連携
- API 利用
- SaaS 同士の接続
Googleでログインの裏側の土台
どんなふうに理解するとよいか
このサービスに、別サービスの情報へアクセスしてよいか を安全に扱う仕組みと考えると分かりやすいです。
ログイン機能の文脈では、OpenID Connect が OAuth 2.0 を土台にして認証も扱えるようにしています。
押さえておきたい注意点
OAuth 2.0 だけで認証まで全部説明しようとすると、意味がずれやすいです。
認可 と 認証 を分けて考えることが大事です。
実務で見るポイント
- スコープ設計
- トークン管理
- API 連携時の権限範囲
- OpenID Connect との役割分担