OIDC

🔐 OIDC란? (OpenID Connect)

**OIDC(OpenID Connect)**는
OAuth2를 기반으로 사용자 인증(Authentication) 기능을 추가한 SSO 표준 프로토콜입니다.

📌 즉,

OAuth2 = 권한 위임 (인가)
OIDC = 로그인 + 권한 위임 (인증 + 인가)

---

✅ 핵심 개념 요약

구성요소설명

Authorization Server	로그인 처리 및 토큰 발급 (예: Google)
ID Token	사용자의 인증 정보가 담긴 JWT 토큰
Access Token	리소스 접근용 토큰 (OAuth2와 동일)
UserInfo Endpoint	사용자 정보 조회 API 제공

 

---

🔄 OIDC 인증 흐름 (로그인)

1. 사용자가 앱에서 로그인 시도
2. 앱은 인증서버(Google 등)로 리디렉션
3. 사용자는 로그인 후, 동의
4. 인증 서버는 앱에게 ID Token + Access Token 발급
5. 앱은 ID Token을 검증하여 로그인 처리

---

🛠 ID Token이란?

• JWT 포맷(JSON Web Token)
• 누가 로그인했고, 언제, 어떤 방식으로 했는지를 포함
• 서버는 ID Token만으로도 로그인 완료 처리 가능

예:

json

복사편집

{ "sub": "1234567890", "name": "홍길동", "email": "gildong@example.com", "iat": 1710000000, "exp": 1710003600 }

---

🌐 OIDC vs OAuth2

항목OAuth2OIDC

목적	인가 (리소스 접근 권한 위임)	인증 + 인가 (로그인까지 포함)
토큰	Access Token	Access Token + ID Token
로그인 처리	자체 구현 필요	ID Token만으로 가능
사용자 정보	별도 API 호출 필요	ID Token 또는 /userinfo API

 

---

🧪 OIDC 실제 활용 예시

• Google 로그인
  → OIDC 기반. ID Token으로 사용자를 인증하고, Access Token으로 Gmail/Drive 접근
• 기업용 Keycloak, Okta 로그인
  → 사내 포털, Slack, GitHub 등 서비스 연동
• Spring Boot OAuth2 Login + OIDC 설정
  → /oauth2/authorization/google 등으로 구현 가능

---

💡 왜 OIDC가 중요한가?

✅ 단순한 소셜 로그인뿐 아니라
✅ 기업용 SaaS, 클라우드, API, 인증 연동까지 확장 가능
✅ 모바일, SPA, Microservice 환경에 필수

---

🎯 마무리 요약

"OAuth2는 열쇠를 주는 프로토콜,
OIDC는 신분증까지 함께 주는 프로토콜이다."