岸本 卓也

目次 なぜ、OAuth 2.0は「認可のプロトコル」と言われるのか？ OIDCは「認証のプロトコル」である OIDCの動作確認 まとめ 本ブログ記事では、Okta Workforce Identity とSaaSアプリ間のフェデレーションで利用できるOpenID Connect (以降、OIDC) について触れてみたいと思います。 認証に関わっていると、「OAuth 2.0は認可のプロトコルだから、認証に使っちゃダメ！認証にはOIDCを使いなさい！」という話を聞くことが多いと思います。 「OAuth 2.0だって認証するじゃん。なんで認可だけなの？」っていう疑問を持って悶々としたままの日々を過ごしていませんか？ 「正直、OAuth 2.0とOIDCってどう違うのか、よく分からない。。。…

目次 Client Credentialsグラントについて Client Credentialsグラントの設定 JWTの生成 トークンリクエストの発行とアクセストークンの取得 APIリクエストの発行 まとめ 本ブログ記事では、前回に続き、Okta Workforce Identity Cloud (以降、Okta WIC) でのOAuth 2.0を使ったAPIの使い方について解説します。 前回の「認可コードグラント」は、ユーザーの認証が必要 (＝人の介在が必要) なので、「サーバからOkta WICへAPIでアクセスしたい」という場合には使いづらい方式でした。 本ブログ記事では、OAuth 2.0の中でも「Client Credentials グラント」という…

目次 認可コードグラントについて CSRFを防御するステート (state) 認可コードグラントの設定 PostmanからAPIリクエストを発行 API操作権限の絞り込み 認可コードグラント＋PKCE について 認可コードグラント＋PKCEの設定 本ブログ記事では、前回に続き、Okta Workforce Identity Cloud (以降、Okta WIC) でのAPIの使い方について解説します。 Okta WICのAPI利用には、以下の2つの方法があります。 (1) Okta WICから発行したトークンを使う。 (2) OAuth 2.0 を使う。 前回は (1) をお伝えしたので、ここでは (2) の方法をお伝えします。 OAuth 2.0の場合にも「トークン…

目次 APIトークンの設定 API操作権限の絞り込み まとめ 本ブログ記事では、Okta Workforce Identity Cloud (以降、Okta WIC) でのAPIの使い方について解説します。 APIとは、Application Programming Interfaceの略称です。 APIを使うことで、外部のアプリケーションからOkta WICを設定したり削除したり、Okta WICの情報を参照したりすることができます。 「Okta Admin Consoleでできる」ことが、「APIでもできる」ということです。 厳密には、Okta Admin ConsoleとAPIで「どちらかではできないけど、どちらかではできる」という多少の機能差はありますが、だいたい同じことができます…

目次 メールだけでパスワード復旧する 2つのオーセンティケーターを使って、パスワード復旧する パスワードを何度も間違えてロックアウトされた場合の復旧 まとめ 本ブログ記事では、Okta Workforce Identity Cloud (以降、Okta WIC) での「Self-service account recovery (セルフサービスのアカウント復旧)」機能について解説します。 Oktaでは、「パスワードレス認証」＝「パスワードを使わない認証」を推奨していますが、まだまだパスワードは利用されているようです。 理由は「パスワードは誰もが慣れているから」「導入しやすいから」という側面が大きいように思います。 しかし、パスワード文字数が少なかったり…

本記事では、Okta Workforce Identity Cloud (以降、Okta WIC) での「Phishing resistant (フィッシング耐性)」について解説します。 Security > Authentication Policiesで、Rule内のTHEN以下の設定を見ると「Phishing resistant」というチェックボックスがあります。 これを有効にすれば「フィッシング攻撃に耐えられるものだけを認証に使う」という指定なんだな、ということは名称から想像がつくと思います。 また、Oktaドキュメントの「フィッシング耐性のある認証」には、FastPassとWebAuthnとの記載があるので、「それらを使えば、フィッシング攻撃に耐えられるんだな…

本記事では、Okta Workforce Identity Cloud (以降、Okta WIC) での「Hardware Protected (ハードウェア保護)」機能について解説します。 Security > Authentication Policiesで、Rule内のTHEN以下の設定を見ると「Hardware Protected」というチェックボックスがありますが「これって何？有効にした方がいいの？」と思っている人も少なからずいらっしゃると思います。 結論から言うと、FastPassが使える状況ならば、これは「有効にした方が良い」です。 しかし、これが何をするものなのかを理解しておかないと、Okta WICの管理者は「この設定のせいで、ユーザーの誰かが 『つながらないぞ…

本記事では、Okta Workforce Identity Cloud (以降、WIC) での多要素認証 (MFA) の設定について解説します。 多要素認証には欠かせない認証器 (Authenticator) であるOkta Verifyは多くの認証機能を持っているので、WICを触り始めた方にとっては、設定を理解するのが難しいと感じると思います。 そこで本記事では、主にOkta Verifyを使った多要素認証について言及していきます。 以降の解説は、以下のブログ記事の内容を実施済みの前提で進めていきます。 ・はじめてのOkta Workforce Identity Cloud (WIC) トライアル環境の構築 ・はじめてのOkta Workforce Identity Cloud (WIC…

Okta Workforce Identity Cloud (以降、WIC) を触り始めた初期段階では、WICに登録したユーザーに対して、Okta Verifyアプリの登録を求められたり、求められなかったりするので「なんでこんな動きになるの？」と疑問を持つと思います。 そこで本ブログでは、WIC初心者が疑問に思うであろう下記2点について解説します。 ・新規ユーザー登録の際に発生する、認証器への登録の挙動 ・登録済みユーザーにも発生する、認証器への登録の挙動 認証器（英語ではAuthenticators）とは、パスワード、メール、Okta Verifyアプリなど、認証を行うものを指します。 以降の解説は、WICトライアル環境をベースに行っていきます。 ※…

このブログでは、Okta Workflorce Identity Cloud (以降、WIC) のトライアル環境の構築方法をお伝えします。 WICの動作を実感できるように、外部アプリケーションとのSAML連携を行う方法もご紹介します。 WICトライアルの申請から構築まで WICトライアル環境の申請は、OktaのWebサイトから行います。 https://www.okta.com/jp/ へアクセスして、「サインアップ」をクリックします。 氏名、メールアドレスなどの必要事項を入力して、「今すぐ始める」をクリックします。 以下のような画面に遷移したら、先ほど入力した「仕事用Eメールアドレス」宛のメールを確認します。 届いたメールの「Activate Okta Account…