#認可
21 件の記事
Webアプリのセキュリティを学ぶためのおすすめ本8選【認証・認可・セキュア設計】
Webアプリケーションのセキュリティを体系的に学ぶための定番書を、認証・認可からセキュアな設計まで8冊まとめた。OAuthによる認可、デジタルアイデンティティ、セキュアな設計・実装の順に紹介し、各書の個別レビューへ移動できる。
送信者制約トークンとは？mTLS（RFC 8705）とDPoP（RFC 9449）入門
bearerトークンの弱点を塞ぐ送信者制約（Sender-Constrained Token）を解説する。mTLS（RFC 8705）とDPoP（RFC 9449）でトークンを送信者に束縛する仕組み、audを絞るResource Indicators（RFC 8707）まで整理する。
アクセストークンの検証と失効とは？Introspection・JWT AT・Revocation
アクセストークンの2方式（opaque + Introspection / JWTアクセストークン）の検証方法と、Token Revocationによる失効を比較する。RFC 7662・RFC 9068・RFC 7009を整理する。
OAuth 2.1とは？OAuth 2.0からの変更点とSecurity BCP（RFC 9700）
OAuth 2.0から2.1への変更点と、RFC 9700 Security BCP・RFC 6819 脅威モデルが示すセキュリティ対策を整理する。PKCE必須・Implicit非推奨・Mix-Up対策など、現在のOAuthで守るべき点をまとめる。
デジタルアイデンティティのすべて―安全かつユーザー中心のアイデンティティシステムを実現するための知識
『デジタルアイデンティティのすべて』の書評。デジタルアイデンティティの概念から実装までを体系的かつ広範に解説する一冊。OAuth 2.0やOpenID Connect、SAML、ゼロトラスト、分散型IDまで網羅し、認証・認可基盤を設計・運用するエンジニアに広い視野を与える。
はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理
『はじめてのデジタルアイデンティティ―Webサービスに欠かせない認証・認可・ID管理』の書評。Webサービスにおける認証・認可・ID管理の基礎を、実例を交えて平易に解説する一冊。OAuth 2.0やOpenID Connect、SAMLの仕組みから、シングルサインオンやソーシャルログイン、IDaaSの活用まで幅広く扱う入門書。
OAuth 2.0とは？フロー・トークン・実装の完全解説
OAuth 2.0 を網羅的に解説。認可フロー・アクセストークン・リフレッシュトークン・スコープ、API セキュリティ実装のための実践的なノウハウを紹介します。
OpenID Connect 1.0 仕様まとめ
OpenID Connect Core 1.0の仕様に基づいて要点を整理した記事です。OAuth 2.0の上に認証のレイヤーを重ねる仕組みとして、IDトークンやJWTのクレーム、認証フロー、署名・暗号化といった要素を取り上げ、仕様書のポイントを実装の観点から詳しく解説します。
SAML 2.0とは？SSOとフェデレーテッドアイデンティティの仕組みを解説
OASIS SAML 2.0の仕様に基づいて要点を整理した記事です。SAML（Security Assertion Markup Language）とは何かという基本から、SSO（シングルサインオン・フェデレーテッドアイデンティティを実現する仕組みや認証のフロー、そして実装上の注意点までを解説します。
セッションベースとトークンベースの認証方式について
Webアプリケーションにおける認証方式の選択について、セッションベース認証とトークンベース認証を比較して解説する記事です。それぞれの技術的な仕組みの詳細をふまえ、スケーラビリティやセキュリティ、保守性といった観点から、どちらを選ぶべきかを考えるための考慮事項を整理します。
OPAを利用したアクセス制御のパターン
Open Policy Agent（OPA）を利用したアクセス制御の代表的なパターンを整理した記事。Allow/DenyやSQL生成、ASTを用いたアプローチなど複数のパターンを、特徴・適した用途・実装負荷の観点から比較し、責務分離をふまえて解説する。
OPAにおけるページネーションへの影響と解決策に関する検討
OPA（Open Policy Agent）を使ったアクセス制御において、ページネーションがもたらす影響とその解決策を検討した記事です。Regoで記述したポリシーによる許可・拒否の判定と、オフセットやカーソルによるページネーション、アクセス制御でのフィルタリングをどう両立させるかを整理します。
PostgreSQLのRow Level Security（RLS）｜行単位のアクセス制御
適用するRow Level Security。PERMISSIVEポリシーとRESTRICTIVEポリシー、USINGとWITH CHECKの動作原理をSQL例で詳解。
Open Policy Agent (OPA)とは？ポリシー・アズ・コードの実践ガイド
Open Policy Agent (OPA) とは何か、ポリシー・アズ・コードの仕組み、インフラの認可ロジックを一元管理する実践的な使い方を解説します。
OPAを使用したマイクロサービスのアクセス制御システムの実装
OPA（Open Policy Agent）を採用したマイクロサービスのアクセス制御システムのPOCに取り組んだ内容をまとめた記事です。Rego言語によるポリシー記述やポリシーエンジンの活用、リソースレベルでの細粒度なアクセス制御を実装するためのパターンを、公開リポジトリとあわせて紹介します。
権限管理基盤についての事例
認可（権限管理）基盤について、他社の開発事例を調べてまとめた記事です。freeeの認可管理基盤を開発するチームの取り組みを主な題材に、チーム構成やマイクロサービスとの関係、QA（品質保証）の進め方といった観点から、権限管理基盤づくりのポイントを紹介します。
権限管理の設計｜アクセス制御の考え方を整理する
権限管理の設計手法を解説。ACL・RBAC・ABACの違いや、機能スコープ・データスコープ、制御対象と運用上の制約をふまえた設計のトレードオフを整理します。
OAuth2、OIDCのキャッチアップのための資料
OAuth2、OIDC、JWTといった認証・認可の標準仕様をキャッチアップするために読み漁った資料をまとめた記事です。OpenID Connect Coreなどの仕様書をはじめ、書籍や実装ガイドまで、これらの技術を理解するうえで参考になったリソースを紹介します。
OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本
『OAuth、OAuth認証、OpenID Connectの違いを整理して理解できる本』の書評。混同されがちなOAuth、OAuth認証、OpenID Connectの違いを、入門者にもわかりやすく整理して解説する一冊。それぞれの役割と使いどころを理解する取っ掛かりになる。
認証・認可の基本
認証・認可の基本を再確認するためにまとめた記事。認証サービスの開発に携わるなかで、識別やRBAC・ABAC、資格情報の種類、シングルサインオン、SAML 2.0、OAuth 2.0、OpenID Connectといった基礎を、実務の文脈をふまえて整理する。