OAuthとOpenID Connect：エンドツーエンドの統合検証

このガイドが達成するのに役立つこと

• IDと認可を分離する
• 意図しないリダイレクトとトークンを拒否する
• 拒否を成功と同様に慎重にテストする
• 退出後またはインシデント後にアクセス権が削除されたことを確認する

クイックチェック

• どのプロバイダーと発行者が想定されているか？
• リダイレクトURIは正確に登録されているか？
• IDトークンがアクセストークンとして誤って使用されていないか？
• 各リソースは所有権を確認するか？
• 失効後も保持されるアクセス権は何か？

手順

1. 1

   展開されたフローを図示する

   公開または機密のクライアント、ブラウザ、認可サーバー、API、およびOIDCプロバイダーを特定する。 コードとトークンの転送先、保管者、および付与されるロールを記録する。 販売図は実際のデプロイメントを確立するものではありません。

   成果物：フロー、信頼境界、コンポーネント所有者

2. 2

   サインイントランザクションを確認する

   クライアントに適したPKCEを使用したコードフローを使用する。 S256、トランザクションバインディング、登録済みリダイレクト、偽造リクエストに対する保護を確認する。 予期しないURI、誤った検証者、リプレイコード、予期しない発行者をテストする。 RFC 9700は、クライアントタイプごとに要件と推奨事項を分けている。

   成果物：許可および拒否テスト結果

3. 3

   正しいトークンを検証する

   APIは、フォーマットとプロバイダルール（署名またはイントロスペクション、発行者、対象者、有効期限、権限）に従ってアクセストークンを検証する。 OIDCクライアントは、IDトークンを別途検証する。 有効な署名があっても、トークンがこのAPIに属するとは限らない。

   成果物：検証コントラクト、対象者および有効期限のテスト

4. 4

   ビジネス権限の確認

   他のアカウント、下位ロール、プライベートフィールド、および管理操作が所有するオブジェクトをテストします。 スコープまたは認証済みゲートウェイは、要求されたリソースに対するサーバー側のチェックを代替するものではありません。 承認済みのテストアカウントとデータを使用してください。

   成果物：ロール、オブジェクト、操作、および想定される拒否マトリックス。

5. 5

   有効期限と失効の検証

   ローカルセッション、プロバイダセッション、アクセストークン、およびリフレッシュトークンを分離します。 ログアウト、デバイス紛失、ロール変更、署名キーのローテーション、およびプロバイダの障害をテストします。 サインアウトによってすべての権限が即座に失効すると想定するのではなく、残存アクセス時間を文書化します。

   成果物：アクセス削除のタイムラインと例外。

6. 6

   シークレットを公開せずに監視する

   トランザクション参照、検証結果、エラーカテゴリ、および構成バージョンをログに記録します。 コード、トークン、およびシークレットは除外します。 診断、統合シャットダウン、および検証済み構成へのロールバックを準備します。 プロバイダの変更後にテストをリプレイします。

   成果物：運用手順書および回帰テスト結果

メカニズムの区別

管理指標

よくある間違い

• 認証と認可の混同
• 署名チェック後に任意の対象者を受け入れる
• 広範囲リダイレクトURIの登録
• デバッグを容易にするためのトークンのログ記録