OAuthとOIDCの違い｜トークン・選び方・失効の確認

IDトークンとアクセストークンの違い：用途・検証・利用者の識別

IDトークンはクライアントが認証結果を確認し、アクセストークンは対象APIがアクセスを評価するためのもの。リフレッシュトークンは認可サーバーでの更新に使い、対象APIへ渡さない。名称やJWTの見た目だけで入れ替えない。

デコードは検証ではない。保守されるSDKと発行元の手順で、用途、発行者、対象者、期限、署名や許可した方式を確認する。IDトークンのaudはクライアントを含む必要があり、任意のAPIを使う根拠にはしない。

OIDCの利用者識別はissとsubの組合せを基準にする。メールアドレスは変更されることがあり、同じメールや表示名だけで別の発行者のアカウントを自動結合しない。具体的なアカウント連携は本人確認と製品の仕様を別に設計する。

2026年の導入・移行チェック：認可コード・PKCE・権限

2025年のRFC 9700はOAuth 2.0のセキュリティに関するBest Current Practiceで、2012年の基本仕様と区別して確認する。公開クライアントの認可コードフローではPKCEが必須、機密クライアントでも推奨される。PKCEを設定しただけで、リダイレクト先・要求との対応・IDトークンの検証・業務認可が不要になるわけではない。

利用者のパスワードを連携先アプリへ直接渡すResource Owner Password Credentials GrantはRFC 9700で使用禁止とされる。新規の接続では採用せず、既存連携に残る場合は公式の移行方法と業務影響を確認する。Implicitの古いサンプルを、そのまま新規設計へ流用しない。

接続前に、アプリと利用者の役割、対象API、読み取り・変更、同意の主体、登録済みの転送先、保管と失効の担当を記録する。Entraの委任アクセスはアプリと利用者の両方の許可が必要で、利用者不在のアプリ専用アクセスとは別に扱う。

ログアウトと権限取り消しの違い：変更後の確認方法

ログアウト、同意の取り消し、更新用トークンの失効、発行済みアクセストークンの失効、アプリ独自セッションの終了は同一操作ではない。RFC 7009も失効の伝播に遅延があり得ることを説明している。実際の停止範囲・反映は製品と対象APIの資料で確認する。

編集部作成の受入確認例は4状態。正常なログイン、許可していないデータへの拒否、権限取り消し後、既存セッションが残る状態で、期待した結果・実際・残件を比べる。許可されたテスト環境と合成データだけを使い、他社のIdPや本物の利用者へ試さない。

取り消し前に取得されたコピーまで回収できたとは扱わない。不審な同意があれば、記録の完成を待たず担当へ連絡し、停止と影響確認を並行する。単なるポリシー保存や一覧からの消失だけを対応完了の証拠にしない。

SSO・API連携の費用と運用を比較する条件

OAuthとOIDCは規格であり、その名称だけで固定の導入料金は決まらない。見積では対象アプリ・テナント・月間利用者の定義、必要な認証方式、監査・保持、接続や移行、問い合わせ対応、運用レビューの工数を揃える。これは編集部の見積確認項目で、特定製品の課金単位や無料枠を示すものではない。

価格だけで選ぶ前に、権限付与と取り消しの担当、障害時の正規の復旧、退職・契約終了時の停止確認を説明できるかを確認する。共通の棚卸し表を使えば、既存契約の機能で対応できるかと、追加の支援が必要かを区別しやすい。