OAuth 2.0
OAuth ermöglicht begrenzten Zugriff auf geschützte Ressourcen. Eine Berechtigung für eine API ist nicht automatisch ein Nachweis der Benutzeridentität.
OAuth 2.0 ist ein Rahmen für die Autorisierung des Zugriffs auf geschützte Ressourcen. Ein Dienst kann dafür ein Zugriffstoken erhalten, ohne dass ihm das persönliche Passwort des Ressourceninhabers gegeben werden muss.
Begrenzte Erlaubnis
In einem hypothetischen Beispiel darf ein Auswertungsdienst Bestellungen lesen, aber keine verändern. Die erteilten Rechte und die Zielressource begrenzen, wozu das Token verwendet werden darf. Der empfangende Dienst muss diese Grenzen prüfen.
OAuth ist für sich genommen kein Verfahren zum Nachweis der Identität einer angemeldeten Person. Auch das bloße Vorhandensein eines Tokens erlaubt nicht jede Aktion. Für eine sichere Umsetzung sind aktuelle Sicherheitsvorgaben relevant; ältere Ablaufbeispiele allein genügen dafür nicht.
Quellen
Verwandte Begriffe
- APIEine API legt fest, wie Software Funktionen oder Daten anderer Software nutzen kann.
- Identity and Access ManagementIAM verbindet die Verwaltung digitaler Identitäten mit ihren Zugriffsrechten. Konten, Rollenwechsel und der Entzug alter Rechte gehören zusammen.
- Least PrivilegeLeast Privilege begrenzt Rechte auf die benötigte Aufgabe und ihren Bereich. Erforderliche Arbeit soll möglich bleiben, unnötige Macht entfällt.
- WebAuthnWebAuthn ist die Browser-API für Anmeldung mit öffentlichen Schlüsseln. Eine Antwort des Browsers muss der Server prüfen, bevor er die Anmeldung akzeptiert.
- PasskeyEin Passkey ermöglicht die Anmeldung mit einem dienstgebundenen Schlüsselpaar. Gerätewechsel, Wiederherstellung und Kontorechte bleiben eigene Aufgaben.
- Attributbasierte ZugriffskontrolleABAC bewertet Zugriffe anhand definierter Eigenschaften und Regeln. Die Herkunft und Aktualität dieser Eigenschaften sind Teil des Entwurfs.
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.