OpenID Connect（オープンアイディーコネクト）
OIDC・OAuth 2.0上ID層。ID Token(JWT)発行+UserInfo endpoint・Discovery・Dynamic Client Registration・Hybrid Flow・FAPI 2.0(金融API)準拠、Auth0・Okta・Keycloak 25・Microsoft Entra ID・Google Identity・Supabase Authが2026年主要実装。
概要
OpenID Connect（OIDC）は OAuth 2.0 を拡張し、認証と ID 情報を統一的に扱うプロトコルです。
主な要素は ID Token（JWT 形式）と UserInfo エンドポイント、さらに Discovery と Dynamic Client Registration による自動化です。
2026年時点で、Auth0、Okta、Keycloak 25、Microsoft Entra ID、Google Identity、Supabase Auth が主要実装として挙げられます。
金融 API で標準化された FAPI 2.0 も OIDC の上位レイヤーとして採用され、次世代のセキュリティ基盤を形成しています。
主な特徴・仕組み
- ID Token：JWT で発行、標準クレーム（sub, iss, exp, aud）を含む。
- UserInfo：追加情報を取得する REST エンドポイント。
- Discovery：
.well-known/openid-configurationでプロバイダー情報を自動取得。 - Dynamic Client Registration：クライアント登録を API で実行、最大 10,000 クライアント同時登録が可能。
- Hybrid Flow：認可コードと ID Token を同時取得し、サーバー側で検証。
- FAPI 2.0：金融機関向けの強化された認証フロー、2025年版が最新。
- JWT 署名アルゴリズム：RS256 が標準。
- Discovery 応答時間：1 秒以内を目標に設計。
- ID Token 有効期限：3600 秒（1 時間）をデフォルト。
- Hybrid Flow 段階数：2 段階（認可コード + ID Token）でセキュリティを確保。
スペック/製品比較表
| プロバイダー | バージョン | ID Token 有効期限 | Discovery 応答時間 | Dynamic Client Registration | Hybrid Flow | FAPI 2.0 対応 | 主要ユーザー数 |
|---|---|---|---|---|---|---|---|
| Auth0 | 2026年版 | 3600 秒 | 0.8 秒 | 10,000 クライアント | あり | 2025年版 | 1,000,000 |
| Okta | 2025年版 | 3600 秒 | 1.0 秒 | 8,000 クライアント | あり | 2025年版 | 2,000,000 |
| Keycloak 25 | 2026年版 | 3600 秒 | 0.9 秒 | 12,000 クライアント | あり | 2026年版 | 500,000 |
| Microsoft Entra ID | 2025年版 | 3600 秒 | 0.7 秒 | 15,000 クライアント | あり | 2025年版 | 5,000,000 |
| Google Identity | 2026年版 | 3600 秒 | 0.6 秒 | 20,000 クライアント | あり | 2026年版 | 10,000,000 |
| Supabase Auth | 2025年版 | 3600 秒 | 1.2 秒 | 5,000 クライアント | あり | 2025年版 | 500,000 |
具体例・対応製品
- モバイルアプリ：Auth0 で Hybrid Flow を採用し、ユーザー認証と API アクセスを同時に取得。
- Web シングルページアプリ：Keycloak 25 の Discovery を利用し、クライアント設定を自動化。
- 金融サービス：Microsoft Entra ID の FAPI 2.0 対応で、銀行 API への安全なアクセスを実現。
- IoT デバイス：Google Identity の Device Authorization Grant を利用し、非インタラクティブ認証を実装。
- バックエンドサービス：Supabase Auth で UserInfo エンドポイントを呼び出し、ユーザー属性を取得。
- 社内 SaaS：Okta の Dynamic Client Registration で社内アプリを即時登録。
自作PCでの選び方・注意点
- プロバイダーの互換性：OIDC の実装が RFC 8414 に準拠しているか確認。
- 署名アルゴリズム：RS256 が標準で、ECDSA も選択肢に入る。
- スケーラビリティ：Dynamic Client Registration の上限を確認。
- レスポンスタイム：Discovery の応答時間が 1 秒以内であること。
- FAPI 2.0 対応：金融用途なら 2025年版または 2026年版を選択。
- ユーザー数：プロダクション規模に応じて、数百万ユーザーをサポートするプロバイダーを選択。
- ログと監査：ID Token の発行ログが取得できるか。
- 多要素認証：Hybrid Flow で MFA を組み込む。
- 開発環境：ローカルでテストする場合は Keycloak 25 の Docker イメージを利用。
- サポート体制：公式ドキュメントとコミュニティフォーラムが活発か確認。
関連用語との違い
- OAuth 2.0：認可フレームワークのみ。OIDC は認証情報を追加。
- SAML：XML ベースの認証プロトコル。OIDC は JSON/JWT を採用し、軽量。
- JWT：トークンフォーマット。OIDC では ID Token と Access Token の両方で使用。
- OpenID：OIDC の前身。認証のみを扱い、OAuth 2.0 の拡張ではない。
- FAPI 2.0：金融 API 専用の強化版。OIDC の上位レイヤーとして位置付けられる。
よくある質問
Q1. OIDC と OAuth 2.0 の違いは？
A1. OAuth 2.0 はリソースアクセスの認可を扱い、OIDC はその上でユーザー認証を追加したプロトコルです。
Q2. Hybrid Flow はどのような場面で有効？
A2. サーバー側で ID Token を検証しつつ、クライアントにアクセストークンを渡す必要がある場合に最適です。
Q3. FAPI 2.0 を利用するメリットは？
A3. 金融機関向けに設計された強化された認証と暗号化が提供され、PCI DSS などの規制に準拠しやすくなります。
まとめ
OpenID Connect は OAuth 2.0 をベースに、ID Token と UserInfo を統合し、Discovery と Dynamic Client Registration による自動化を実現します。2026年時点で主要プロバイダーは Auth0、Okta、Keycloak 25、Microsoft Entra ID、Google Identity、Supabase Auth が実装しており、金融 API で標準化された FAPI 2.0 も併せて採用できる点が特徴です。自作PC で構築する際は、プロバイダーの互換性、署名アルゴリズム、スケーラビリティ、レスポンスタイム、FAPI 2.0 対応を重点的に検討し、最適な組み合わせを選択してください。