フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）とは？ふぇでれーしょんにんしょう
フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）とは、組織やサービスをまたいで認証の結果を受け渡し、利用者の資格情報を各サービスへ配らずに済ませる仕組み。ID基盤（IdP）が本人確認を行い、サービス側は署名付きの主張だけを受け取って自分の利用者に対応付ける。XMLベースのSAML、権限委譲の枠組みであるOAuth 2.0、その上に本人確認を載せたOpenID Connectが代表格。
最終更新：2026-10-06
エンベデッドSPを最短で暗記・合格する →背景
サービスごとにパスワードを預ける方式では、退職や漏えいのたびに預け先を全部回って止めることになり、連携先が増えるほど破綻する。そこで認証は1か所に集め、各サービスへは「誰であるか」を署名付きで伝えるだけにしたのがフェデレーション。組込みの側から見ると、これは機器そのものの話ではなくクラウド側の話に見えるが、遠隔監視や更新配信を前提にする製品では、機器はX.509証明書で、人はフェデレーションで、と身元の確かめ方を二層に分けて設計する必要が出てくる。ここを一緒くたにすると、機器の鍵で人の権限まで通ってしまう。
具体例
スマート家電の運用基盤では、機器そのものはX.509クライアント証明書でAWS IoT Coreへ接続し、利用者のスマートフォンアプリはAmazon Cognito（OpenID Connectに準拠したIDサービス）が発行したIDトークンとアクセストークンでクラウドAPIを呼ぶ。機器の身元と人の身元を別経路で確かめる構成になり、端末を譲渡したときは人側の紐付けだけを外せばよい。
試験での引っ掛け
OAuth 2.0を「認証の規格」と説明する選択肢は誤り。これは権限委譲（認可）の枠組みで、本人確認まで担うのはIDトークンを定義したOpenID Connectの層。アクセストークンをそのまま身元の証明に使う実装は、他サービス向けに発行されたトークンの流用を許す。画面もキーボードも持たない機器ではブラウザ前提の認可コードフローが使えず、別端末でコードを入力するデバイス認可グラントを選ぶ点も併せて押さえる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。