API/認証の変更点

追加された行はこの色です。
削除された行はこの色です。
API/認証は削除されています。
API/認証の差分を削除
#author("2023-01-27T06:04:45+00:00","default:admin","admin")
-[[Firebase Authentication, Auth0, Amazon Cognitoを比較した:https://qiita.com/yutaro50/items/55455fe34385852d5ac0]]
-[[「認証サービスCognito・Auth0・Firebaseを比べる」を読んだ:https://zenn.dev/moya_dev/articles/9ed3aa4290d6c4]]
-[[他社製品と比較した際のAuth0のいいところ:https://www.slideshare.net/SatoshiTakayanagi/auth0-233921151]]
#author("2023-01-27T06:06:49+00:00","default:admin","admin")

-[[WebAPI学習ソースまとめ:https://qiita.com/y-some/items/7e05540d7563f7c1c101]]

-[[Web API認証方式のパターン:https://architecting.hateblo.jp/entry/2020/03/27/033758]]
-[[OAuth & OpenID Connect 関連仕様まとめ:https://qiita.com/TakahikoKawasaki/items/185d34814eb9f7ac7ef3]]

-[[認証を含む API 開発で検討すべきこと:http://www.bokukoko.info/entry/2015/12/20/%E8%AA%8D%E8%A8%BC%E3%82%92%E5%90%AB%E3%82%80_API_%E9%96%8B%E7%99%BA%E3%81%A7%E6%A4%9C%E8%A8%8E%E3%81%99%E3%81%B9%E3%81%8D%E3%81%93%E3%81%A8]]
-[[Web API認証について:http://blog.virtual-tech.net/2014/01/web-api.html]]
-[[技術/HTTP/REST設計思想の "Stateless" との付き合い方:https://www.glamenv-septzen.net/view/1350]]
-[[WebAPIの認証:https://techinfoofmicrosofttech.osscons.jp/index.php?WebAPI%E3%81%AE%E8%AA%8D%E8%A8%BC]]

*OAuth [#f2c9ad2e]
-[[OAuthプロトコルの中身をざっくり解説してみるよ:http://d.hatena.ne.jp/yuroyoro/20100506/1273137673]]
-[[ゼロから学ぶOAuth:http://gihyo.jp/dev/feature/01/oauth]]
-[[APIアクセス権を委譲するプロトコル、OAuthを知る:http://www.atmarkit.co.jp/fsecurity/special/106oauth/oauth01.html]]

-[[OAuth 2.0の代表的な利用パターンを仕様から理解しよう:https://www.buildinsider.net/enterprise/openid/oauth20]]
-[[OAuth 2.0 全フローの図解と動画:https://qiita.com/TakahikoKawasaki/items/200951e5b5929f840a1f]]
-[[OAuth 2.0 クライアント認証:https://qiita.com/TakahikoKawasaki/items/63ed4a9d8d6e5109e401]]
-[[OAuth 2.0 の仕組みと認証方法:https://murashun.jp/blog/20150920-01.html]]
-[[OAuth 2.0 の認可レスポンスとリダイレクトに関する説明:https://qiita.com/TakahikoKawasaki/items/8567c80528da43c7e844]]
-[[OAuth2.0によるWeb APIの保護:https://www.slideshare.net/naohiro.fujie/oauth20web-api]]

-[[一番分かりやすい OAuth の説明:https://qiita.com/TakahikoKawasaki/items/e37caf50776e00e733be]]
-[[OAuth 2.0 の勉強のために認可サーバーを自作する:https://qiita.com/TakahikoKawasaki/items/e508a14ed960347cff11]]

**[[RFC6749:https://datatracker.ietf.org/doc/html/rfc6749]] [#ua9abed6]
-[[RFC 6749 - The OAuth 2.0 Authorization Framework 日本語訳:https://tex2e.github.io/rfc-translater/html/rfc6749.html]]

**stateパラメタ [#fa8201e8]
-[[OAuthやOpenID Connectで使われるstateパラメーターについて:https://tech-lab.sios.jp/archives/8492]]
-[[OAuth2.0 State の役割:https://qiita.com/naoya_matsuda/items/67a5a0fb4f50ac1e30c1]]
-[[図解：OAuth 2.0に潜む「5つの脆弱性」と解決法:https://www.atmarkit.co.jp/ait/articles/1710/24/news011.html]]
-[[OAuth 2.0, OpenID Connect の state, PKCE, nonce について調べた:https://medium.com/@itooww/oauth-2-0-openid-connect-%E3%81%AE-state-pkce-%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6%E8%AA%BF%E3%81%B9%E3%81%9F-1463942309c7]]
-[[OAuthのセキュリティ強化を目的とする拡張仕様を導入しました:https://alpha.mixi.co.jp/entry/2013/12020/]]

-CSRF対策

-stateパラメタの限界
--認証サーバは認可要求からクライアントがstateパラメータを利用しているかどうか”は知ることができるものの, “stateパラメータに共通の値や推測可能な値を指定していないか”、クライアントが正しく認可応答のstateパラメータの検証をしているか”までは知ることができない

**PKCE [#a9c5df75]
-Proof Key for Code Exchange by OAuth Public Clients

-[[Auth0を利用してOAuth 2.0のPKCEを理解する:https://dev.classmethod.jp/articles/oauth-2-0-pkce-by-auth0/]]
-[[OAuth2.0拡張仕様のPKCE実装紹介 〜 Yahoo! ID連携に導入しました:https://techblog.yahoo.co.jp/entry/20191219790463/]]
-[[PKCE: 認可コード横取り攻撃対策のために OAuth サーバーとクライアントが実装すべきこと:https://qiita.com/TakahikoKawasaki/items/00f333c72ed96c4da659]]
-[[OAuth 2.0 認可コードフロー+PKCE をシーケンス図で理解する:https://zenn.dev/zaki_yama/articles/oauth2-authorization-code-grant-and-pkce]]

**リソースオーナーパスワードクレデンシャルグラント [#f2c3ea81]
-[[リソースオーナーパスワードクレデンシャルグラント:https://openid-foundation-japan.github.io/rfc6749.ja.html#grant-password]]

*OpenID [#z2755baa]
-[[wikipedia - OpenID:http://ja.wikipedia.org/wiki/OpenID]]
-[[@IT - OpenIDの仕様と技術:http://www.atmarkit.co.jp/fsecurity/index/index_openid.html]]

-[[openid.ne.jp:http://www.openid.ne.jp/]]

-[[OpenID Connectユースケース、OAuth 2.0の違い・共通点まとめ:https://www.buildinsider.net/enterprise/openid/connect]]

*WebAuthn [#l705ed0d]
-[[パスワード不要の認証「WebAuthn」とは？｜「FIDO」の構成技術を解説:https://www.nri-secure.co.jp/blog/what-is-webauthn]]
-[[WebAuthnのやさしい解説！安全にパスワードレス認証ができる仕組みとは？:https://techblog.raccoon.ne.jp/archives/1594945638.html]]
-[[WebAuthnの仕組み:https://www.okta.com/sites/default/files/2020-08/How_WebAuthn_Works_JP.pdf]]

*[[Auth0:https://auth0.com/jp]] [#f0435359]
-[[料金体系:https://auth0.com/jp/pricing]]

-[[Auth0(オースゼロ)とは？口コミや評判からメリット・デメリットを解説:https://locked.jp/blog/what-is-auth0/]]
-[[次世代認証基盤サービス「Auth0」:https://classmethod.jp/partner/auth0/]]
-[[認証プラットフォーム「auth0」とは？導入方法や機能・価格など分かりやすく解説！:https://ugo.tokyo/about-auth0/]]
-[[Auth0とは何か？クラウドサービスやアプリで利用されている認証プラットフォームサービスを解説:https://ssaits.jp/promapedia/technology/auth0.html]]
-[[認証プラットフォーム Auth0 とは？:https://qiita.com/furuth/items/68c3caa3127cbf4f6b77]]

-[[【AppSync】Auth0 + OpenID Connect認証でGraphQLクエリを実行する(内容修正版):https://makky12.hatenablog.com/entry/2021/08/27/114606]]
-[[Auth0 + Cognito IDプールで認証基盤を構築！:https://www.ragate.co.jp/blog/articles/11782]]

**基本機能 [#sf54ed46]
***[[シングルサインオン:https://auth0.com/jp/single-sign-on]] [#pbd903a8]

***[[ユニバーサルログイン:https://auth0.com/jp/universal-login]] [#a9716a50]
-Auth0でホスティングされたログインページ
-ログイン状態の管理も含め、独自で実装するコードを少なくできる

***[[多要素認証（MFA）:https://auth0.com/jp/multifactor-authentication]] [#oc20a233]
-アダプティブ多要素認証 ... リスクが高いと判断されたログイン時にのみ表示されるため、企業は強固なセキュリティを維持しつつ、ユーザーにシームレスな体験を提供することができます。
-ステップアップ多要素認証 ... よりリスクの高い情報にアクセスしようとする場合に、より強力な認証をユーザーに要求することができます。
-WebAuthn対応

***異常検出機能 [#t1893e4a]
***M2M認証 [#t986c351]
-[[機器間（M2M）認証を使用する:https://auth0.com/blog/jp-using-m2m-authorization/]]

***RBAC (Role-Based Access Control) [#h69a18c4]
-[[Auth0のRBAC(Role-Based Access Control)を使ってAPIのアクセス制御をやってみた:https://dev.classmethod.jp/articles/use-role-based-access-control-in-auth0/]]

**セキュリティ [#w5ccd41b]
-[[Auth0のアクセストークンをLocal Storageに保存するのは安全？メリット・デメリットをin-memory方式と比較して検討する:https://blog.flatt.tech/entry/auth0_access_token]]

**採用事例 [#p444c713]
-[[請求管理ロボにAuth0を導入しました:https://tech.robotpayment.co.jp/entry/2022/06/02/093032]]

**Oktaによる買収 [#ac695e26]
-[[ID管理分野でOktaによるAuth0の買収が完了、両サービスは今後も継続:https://it.impress.co.jp/articles/-/21450]]
--Oktaは、IDaaS「Okta Identity Cloud」を提供している。Salesforce.comやOffice 365などのSaaSや業務アプリケーションにアクセスするためのID情報（アカウントとアクセス権限）をクラウド上で管理できる。
--エンドユーザーは、Oktaのクラウドを介して、SaaSなどにSSO（シングルサインオン）でログインできる。

--Auth0は、開発者に向けて、Webサービスに認証・認可の機能を組み込むためのサービスを提供している。
--認証・認可の機能として考えられるフル機能を、開発者みずから開発することなく利用できるとしている。
--SDK（ソフトウェア開発キット）を提供しているほか、構築済み画面のサンプルなどを用意している。ID連携によるSSOにも対応する。

*AWS [#t51e2d2a]
-[[【徹底解説】AWSにおける認証サービスとは？:https://www.sunnycloud.jp/column/20210803-01/]]

-[[LaravelからAppSync APIをIAM認証で実行する:https://tec.tecotec.co.jp/entry/2021/12/08/000000]]
API/認証 の変更点

API/認証の変更点
