OpenId Connect - クライアント証明書を認証に使用できますか？

Question

私がOpenID Connectについて見たすべてのexaplesは、ログインとパスワードの使用についてです。私はサーバーで認証するためにクライアント証明書を使用するいくつかのアプリケーションを持っています。この種の認証はopenid connectで実現可能ですか？

Answer 1

実際OpenID Connectはではありません。は、ユーザーがプロバイダによってどのように認証されるかを指定します。代わりに、認証されたユーザに関する情報をプロバイダと依拠当事者との間で伝達する仕組みを指定します。

プロバイダがクライアント証明書を要求してユーザーを認証することは、もちろん可能です。それを禁止するOpenID Connect仕様自体には何もありません（その意味ではSAMLと同じです）。

Answer 2

RFC 7521は、クライアント認証にアサーションを使用する方法を提供します。

暗号化方式を使用して認証サーバーを認証できるようにする2つのRFCがあります。 証明書、またはより正確には、それらに含まれる公開鍵、クライアントの主張を確認するために、認証サーバによって使用されます。

• のSAML（Security Assertion Markup Language）2.0プロファイル（RFC7522）
• JSONウェブトークン（JWT ）プロファイル（RFC7523）

OAuthのX.509 TLS認証を実装しようとするan ongoing specification draftもあります。