OAuth vs OpenID：これらのいずれかを使用する理由とその理由について混乱しています

Question

最近、私はOpenIDとOAuth2について読んでいました。私はいくつかの質問（thisとthis）を見たことがありますが、私が読んだところではOAuthと認可のためだけに認可のために使うことができません。あなたがウェブサイトで（いくつかのプライベートリソースを持つ）のアカウントを持っている場合は、 は、ユーザー名/パスワードのカップルを使ってログインすることができます

：2番目の質問では、私はこれを読みました。アプリケーションで にいくつかのプライベートリソースを取得したい場合は、 ユーザー名/パスワードを指定したくない場合は、OAuthを使用してください。

ただし、一意の アカウントで複数のWebサイトにログインする場合は、OpenIDを使用してください。

これは（ドミニクBaierのは、あなたがおよそOAuth2これらの年を聞いたしていない場合、あなたは最後の年のために洞窟に住んでいたので、これは私のケースだったようだという彼のプレゼンテーションの1の中で述べて）より多くの混乱を上げました：多くのWebサービス（API）があり、すべてのAPIのトークンを要求するサービスがSTSの場合はOpenIDを使用していますか？ OAuthは、単一のSTSサービスを使用して複数のサイトに権限を拡張することはできませんか？

私に説明しようとすると、以前は認証や認可プロセスを実装していなかったと考えてください。

Answer 1

あなたは正しいです：OAuth2に基づく多くの認証サーバーは、認証方法を提供します。しかし、OAuth2はその目的のために設計されていません。 OAuth2コンテキストでは、クライアントはリソースサーバー上のリソースを取得/管理するためのアクセストークンを持っています。リソース所有者は何も知らない。

これが、OpenID Connectプロトコルが作成された理由です。これは、OAuth2 Frameworkプロトコルの上で動作し、クライアントがリソース所有者に関する情報を取得できるようにします。

this very interesting talk（4:44から開始）をご覧になることをお勧めします。この動画は、各トークンの目的を理解するのに役立ちました。それがあなたにも役立つことを願っています。