Authrimの紹介

Authrim は Cloudflare Workers 向けのオープンソースの認証・認可基盤です。アプリケーションのログイン、トークン発行・検証、外部 ID プロバイダーとの連携、アクセス権の判定を提供します。

提供する機能

領域	実装されている機能の例
認証とプロトコル	OAuth 2.0、OpenID Connect、SAML IdP/SP、パスキー、メールコード、Device Flow・CIBA
ID 連携	外部 OIDC/OAuth プロバイダー、SAML 連携、アカウントの紐付け、設定に応じた初回ログイン時のユーザー作成
認可	RBAC、ABAC、ReBAC、トークンへのクレーム付与、実行時のポリシー評価
管理	テナント・クライアント管理、監査、同意に関する記録、Admin UI と Login UI
拡張	組み込みプロバイダー、承認済みの能力マニフェストと動的 Worker バンドルを扱う Plugin Runner

各機能には対応する設定とデプロイが必要です。API や拡張インターフェースが存在しても、すべてのプロバイダーやフローが初期状態で有効とは限りません。

動作の仕組み

ar-router が Service Bindings を通じて各 Worker へ処理を振り分け、Durable Objects が状態を伴うプロトコル処理を調整します。Control は DB の配置と署名付きのルーティング情報を管理し、Lookup がアカウントの保存先を探します。Core と PII は ID 情報の異なる部分を保存します。

D1 の配置は、従来のストレージプロファイルでは選択しません。現在のランタイムプロファイルは監査とデータ所在地のポリシーを扱います。アーキテクチャと PII 分離も参照してください。

デプロイと運用

ライセンスは Apache 2.0 で、Authrim のユーザー単位のライセンス料金はありません。自分の Cloudflare アカウントで運用し、ソースと設定を管理できます。一方、インフラ、メール配信、監視、バックアップ、運用作業には費用がかかります。現在のランタイムは Cloudflare のサービスに依存しており、オープンソースであることと、どのホスティング環境でもそのまま動くことは別です。

現在の位置づけ

ソースは 0.x 系です。リリース間で API・スキーマ・セットアップ手順が変わる場合があります。利用する機能を評価し、対象リリースの導入・更新計画に従ってください。負荷試験やプロトコル認定も、記載された条件・バージョンに対するもので、すべてのデプロイ構成を保証するものではありません。

導入はクイックスタートから、アカウントの紐付けとポリシーの考え方はアイデンティティハブから確認できます。