スパイスラボ神部です。

OpenSocial をやってるとちょこちょこ顔を出す OpenID と Auth。これについてちゃんと理解するためのいろいろを調べてみたいと思います。

-シングル・サインオンが好きだ！ - Favorites!

OpenID まわりについて

-OpenID や OAuth の役割と、既存のシングル・サインオンとの違い：Goodpic

これは目から鱗。シングルサインオンとシステムの類似性があるわけだから、そこから理解するのがいいのかもね。

となると、要は OpenID は「本人確認を取り除いた低コストな認証システム、ということなのかなあ。

とりあえずは、Web に特化されたシングルサインオン、と認識しておこう。

その他の参考エントリ：

-OpenIDの使いどころ - Yet Another Hackadelic

-たけまる / OpenID に向いている認証と向いてない認証

-ID管理と OpenID について - まちゅダイアリー(2008-01-11)

-Young risk taker.: OpenID動向 - Trusted Data Exchangeがユーザ属性ポータビリティの切り札になるか？

ここにあるのはまだ難しすぎる。だけど、ユーザのアイデンティティを =foobar と表記しているのが、数年後には当たり前になるのかな（どうやら OpenID 的表記！？）

-認証APIとOpenIDの違いを説明して、OpenID導入を説得する - tzmtkのブログ

OAuth について

-APIアクセス権を委譲するプロトコル、OAuthを知る － ＠IT

この記事によると：

困りごと１：サービス間でマッシュアップするとユーザアイデンティティがないがしろになる

困りごと２：サイトごとのアカウント発行が面倒

解決すること１：ユーザーにとってOAuthを利用するメリットはIDとパスワードをOAuthコンシューマに預けなくてもよいこと（サービス提供者による不正アクセス対策になる）

解決すること２：OAuthコンシューマに与える権限を事前に確認できる（どうやらこれは OpenID ではできない？）

※OAuthは「オース」と読むらしい。

その他の関連エントリ：

-OAuthで気持ちのいいアクセス制御を

OAuth 登場以前、Twitter の投稿 API を叩くための認証は Basic 認証しかありませんでした

例えば Twitter でいえば、「こっからここまでやっていいよ」と言うのを、Twitter にログインした状態において手動で設定画面を開かせることなく許可することができる、ってことなのかな。そこのプロセスが自動なのなら確かにすばらしいですね。

うん、なんかわかってきたぞ。そうなると、認可している権限一覧も確認したくなりますね。

（例えば、自分の Twitter アカウントにアクセスしてきている外部サービスの一覧とか）

-ゼロから学ぶOAuth：第1回　OAuthとは？―OAuthの概念とOAuthでできること｜gihyo.jp … 技術評論社

よかった、書いてあることと理解していることが大分近いぞ。

OpenID・OAuth 双方について述べているもの

-OpenID + OAuth：おいしい物同志のおいしい組み合わせ

-Think and Win » Blog Archive » OpenID、OAuthを個人が複数所有して、必要なAuthorizationを独自に構築する

-入門 LDAP／OpenLDAP―ディレクトリサービス導入・運用ガイドが好き！ - ILOVEIT(β)

まとめ

自分なりに解釈した、OpenID と OAuth のもっとも簡単で最小限のまとめ。

間違っているかもしれませんが、こんなところでどうでしょうか。

OpenID とは？

-Web に特化されたシングルサインオンのしくみ

OAuth とは？

-（使っているサービスに対する別サービスからの）APIアクセス権を効率よく認可させられる仕組み

理解に自信があるわけではないので、よりよい解釈があればアドバイスお待ちしております。