📨

メールソフトで考えるリソースアクセスとOAuth

2022/03/13に公開

ritouです。

OAuth認証やOAuthログインなんて言うのは平成で終わりにしないといけなかったんですが、そううまくはいかないようです。

メールソフトのやっていること

メーラーとかメールソフトのやることといえば

のがメインですね。
他に色々できるやつもあるのかもしれませんが 置いときます 。

メールソフトにログインする訳ではなく、対象メールアカウントへのアクセス権限が欲しいだけです。
ここは昔からなんとなく理解しやすい気がする。しない？これこそリソースアクセスですよね。

ずっと前から、メールソフトでは、

していたわけですね。

この辺りについて意識が高まっていた10年前にブログ記事を書いたことがあったんですが、メールとかカレンダーとかその辺のプロトコルがはこうなってるので仕方ないって感じだった記憶があります。

例えばGoogleのようなあれもこれもできるサービスにとって、クレデンシャルを渡すこれまでの方式にはリスクがあるでしょう。

いやいや、メールソフト使うのはお前のパソコンとかなんだからそれでいいだろうと思う人もいるでしょう。
とはいえ、Webメールでの設定は手元の端末じゃないところにもありますし、漏洩時などのリスクも抑えられる方がいいでしょう。

と言うことで、Googleさんはメールソフトなどで使えるパスワードを別に払い出せるようにしたこともありました。
アプリパスワードっていうんだったかな。サービスアカウントみたいなやつ。

アプリパスワードとは、安全性の低いアプリやデバイスに Google アカウントへのアクセスを許可する 16 桁のパスコードです。

安全性の低いアプリやデバイスですって。意識の低いお客様に見たいな言い方、素敵です。

実際はこんな感じで設定できます。

さらにリソースの範囲を制限できると一番良かったんでしょうけども、まぁとりあえず用途別に作れますよって感じですかね。

どこかの団体のエバンジェリストとかが言うには

みたいなのがOAuthの特徴だそうです。

あと、リソースオーナーの同意を得る際の認証方式などはOAuthの仕様の対象外であることも特徴の一つですね。

メールソフトにおいても、OAuthを使うことで

と言うメリットがあります。

そんなこんなで、Googleはいつからかは忘れましたがメールソフトからOAuthで接続できるような機能を提供してきた訳ですね。

裏側で何が使われているかというと、

SAML じゃなくて SASL です。あとはググってくれ。

ではまた。