Ncloud Single Sign-On とは

Classic/VPC環境で利用できます。

Ncloud Single Sign-Onを連携する方法を学習する前に、Ncloud Single Sign-Onの連携に必要ないくつかの重要な概念を説明します。ここで説明する主な概念は、次の通りです。

• OAuth 2.0の定義
• OAuth 2.0のロール
• OpenID Connect
• Access Token
• Refresh Token
• ID Token
• OAuth 2.0の認証フロー
• SAML 2.0の定義
• SAML 2.0のロール

OAuth 2.0の定義

OAuth 2.0は、権限付与のためのオープン型認証プロトコルです。OAuth 2.0はリソースサーバにアクセスできる権限を、リソースを所有しているユーザーの代わりにアプリケーションに委任します。

OAuth 2.0のロール

OAuth 2.0で定義するロールは次の通りです。

OpenID Connect

OpenID Connectは、OAuth 2.0ベースで Token発行時に IdPでユーザー情報を持つ ID Tokenを発行するプロトコルです。

Access Token

Access Tokenは、Clientが保護されているリソースにアクセスするため、権限が許可されたことを示す認証情報であり、IdPで発行された文字列です。Clientは、Access Tokenを利用して Resource Serverにアクセスできます。

Refresh Token

Refresh Tokenは、IdPで発行される Tokenで、期限切れの Access Tokenの期限を延長して発行する場合または同じか狭い Scopeの追加 Access Token発行時に使用されます。Clientが Refresh Tokenを含め、Access Token発行 APIを IdPに送ると、偽造または改ざんされていないかを確認してから Access Tokenを発行します。

ID Token

ID Tokenは、ユーザー情報を持つ JWTタイプの Tokenで、Token発行リクエスト時、scopeに id_tokenを含む場合、Access Tokenと一緒に IdPで発行されます。

OAuth 2.0の認証フロー

OAuth 2.0認証プロトコルのフローは次の通りです。

• Authorization Codeフロー
• PKCEフロー
• Implicitフロー

Authorization Codeフロー

Authorization Codeフローは最も一般的な認証フローであり、説明は次の通りです。

1. Resource Ownerがログインボタンをクリックしてフローを開始します。
2. Clientが保護されているリソースにアクセスするため、レスポンス方式をコードに設定してから権限付与をリクエストします。
3. IdPが Resource Ownerに個人情報の提供に対する同意ページとログインページを送信します。
4. Resource Ownerが同意とログインにて権限付与を承認します。
5. IdPが Authorization codeを Clientに送信します。
6. Clientが Authorization codeを利用して IdPに Access Tokenの発行をリクエストします。
7. IdPで Authorization codeを確認してから Tokenを発行します。
8. Access Tokenを持つ Clientが Resource Serverにアクセスして保護されているリソースをリクエストします。
9. Resource Serveがリクエストされたリソースを Clientに送信します。

PKCEフロー

PKCEフローは、Authorization Codeフローで行うときにセキュリティを強化する機能であり、PKCEを含むフローに対する説明は次の通りです。

1. Resource Ownerがログインボタンをクリックしてフローを開始します。
2. Clientが Code Verifierと Code Challengeを作成します。
3. 権限付与のリクエスト時に Clientが作成した Code Challengeと Code Challenge Methodを一緒に送信すると、その値が IdPに保存されます。
4. IdPが Resource Ownerに個人情報の提供に対する同意ページとログインページを送信します。
5. Resource Ownerが同意とログインにて権限付与を承認します。
6. IdPが Authorization codeを Clientに送信します。
7. Clientが Code Verifierと Authorization codeを含めて IdPに Access Tokenの発行をリクエストします。
8. IdPが保存された Code Challengeと Code Verifierを比較して一致有無を確認します。
9. 2つの値が一致する場合、IdPから Access Tokenを発行します。
10. Access Tokenを持つ Clientが Resource Serverにアクセスして保護されているリソースをリクエストします。
11. Resource Serveがリクエストされたリソースを Clientに送信します。

Implicitフロー

Implicitフローは、認証情報を安全に保存・管理することが難しい Client環境に適しているフローで、説明は次の通りです。

1. Resource Ownerがログインボタンをクリックしてフローを開始します。
2. Clientがレスポンス方式を Tokenに設定してから権限付与をリクエストします。
3. IdPが Resource Ownerに個人情報の提供に対する同意ページとログインページを送信します。
4. Resource Ownerが同意とログインにて権限付与を承認します。
5. IdPから Access Tokenを発行します。
6. Access Tokenを持つ Clientが Resource Serverにアクセスして保護されているリソースをリクエストします。
7. Resource Serveがリクエストされたリソースを Clientに送信します。

SAML 2.0の定義

SAML 2.0は、ウェブベースのオープン型認証プロトコルです。アプリケーション間でユーザー認証と権限情報をやり取りする際に使用される標準情報形式である SAML 2.0により、IdPと SPがユーザーの情報を安全に交換して認証することができます。

SAML 2.0のロール

SAML 2.0で定義するロールは、次の通りです。