アイデンティティフェデレーション（SAML / OIDC / OAuth）
アクション必須（読んだら即実行）
NOW: precedent-pentest を読む；SSOテストアカウントとIdP/SP範囲をスコープに含めるNOW: 実在ユーザーアカウントをロックアウトするブルートフォース試行を禁止NEXT: パケットキャプチャツールとドキュメント（メタデータURL）を準備ACT: プロトコルフローのマッピング → 一般的な設定ミス → 検証
適用シナリオ
- SAML Responseの署名／アサーション改ざん面（古典的な脆弱性パターン）
- OIDC インプリシット／認可コードフロー + PKCEの欠如
- redirect_uri / state / nonce の問題
- IdPとSPのメタデータ、マルチテナントIssuerの混同
api-securityJWT攻撃と補完的（本スキルはフェデレーションとSSOフローに特化）
ワークフロー
□ 明確化：User → SP → IdP → Token → SP
□ 収集：/.well-known/openid-configuration、SAML metadata
□ 検査：redirect_uriの完全一致、stateバインディング、PKCE
□ 検査：SAML署名の適用範囲、アルゴリズムダウングレード
□ セッションフィクセーションとログアウトの無効化
ツールチェーン
| ツール | 用途 |
|---|---|
| Burp + SAML Raider など | アサーション編集（認可） |
| jwt_tool | JWTセグメント |
| ブラウザ DevTools | リダイレクトチェーン |
| IdP管理ログ | 監査 |
参考
references/sso-flow-checklist.md../api-security/../windows-ad/（エンタープライズIdP）
ルーティングコンテキスト
上流: MASTER R37
下流: 純API JWT → api-security；クラウドIdP → cloud-k8s
タスク完了セルフチェック
- 完全なSSOフローをマッピングしましたか？
- 各Findingに再現手順と影響は記述されていますか？
- チェックリストは完了していますか？