はじめに

引き続き読み進めていく。 RFCらしい文体が目立ってきた。

2.クライアント登録

クライアントは事前に認可サーバへの登録が必要。

2.1クライアントタイプ

2つのクライアントタイプがある。

  • コンフィデンシャル

クレデンシャルの秘密が保持できるクライアント。セキュアなサーバなど。

  • パブリック

クレデンシャルの秘密が保持できないクライアント。スマホアプリなど。

2.2クライアント識別子

文字列。秘密じゃないので、これだけで認証に使うのは禁止。

2.3クライアント認証

クライアントタイプがコンフィデンシャルな場合は、クライアントの認証を行う。 方式はパスワード認証か、それ以外か。

2.3.1クライアントパスワード

クライアントIDとクライアントシークレット（ID/パスワード）を利用して認証する。

ここには、いくつか注意事項の記載がある。「basic認証のサポートは必須」「TLSの利用が必須」「ブルートフォースアタック対策は必須」など。

2.3.2その他の認証方式

その他の認証方式を利用してもいいけど、明確にすることが必須。

2.4未登録クライアント

未登録クライアントを利用してもいい。（「本仕様で利用を排除するものではない」というRFCらいし書き方。） ただし、そのような利用は、本仕様のスコープ外。各自、セキュリティに気をつけて考えてね。