暗号化されていないIDトークンを共有することはできますか？

Question

私は2つのサーバAとBを持っているとしましょう。ユーザエージェントはAを認証して認証するためにA（そしてOpenIDプロバイダ）にしか接続しません。 Bを信頼し、HTTPS経由でのみBと話すAが、OpenIDプロバイダのトークンエンドポイントから受信した（暗号化されていない）IDトークンをBに渡すことはOKですか？

これは、AがIDトークンで表されるように、認証されたユーザーに代わってBの操作を呼び出すことができるようにするためです。 Bは、ユーザーが実際にAで動作するように認証されたことを検証できなければなりません（IDトークンのaudオーディエンス値とIDトークンの署名をチェックして、改ざんされていないことを確認します。 。

これは良い方法と考えられますか？それとも別のやり方でやっているのですか？

また、この場合、IDトークンを要求するときに、BのクライアントIDをaudリストに追加する必要がありますか？私はその点を見ていませんが、実際にはOpenID認証エンドポイントはエンドユーザにエンドユーザへのオーディエンス（実際にはエンドユーザに何も意味しないクライアントIDではありません）を実際に表示します彼らの同意を得ますか？

Answer 1

これは、ユーザーがOpenID Connectを使用してRP Aにサインオンした後、OpenID Connectフローの一部として提供されたアクセストークンを使用して、ユーザーの代わりにBを呼び出す場合のようです。

IDトークンを渡したり、audという識別子を共有したり、クライアントの秘密情報を共有したりするのは面倒です。 Bはアクセストークンを検査して、ユーザーがAに適切な「スコープ」（アクセス権）を持っているかどうかを調べることができます。

IDトークンを特定の受信者に向けて共有することは好ましくありません。

OpenID Connectフローで受信されたアクセストークンは、認証要求に余分に要求されたスコープを含めることで、userinfoエンドポイント以上のものに関連付けることができます。