OAuth 2.0
OAuth ger begränsad åtkomst till skyddade resurser. Ett API-tillstånd bevisar inte automatiskt en inloggad persons identitet.
OAuth 2.0 är ett ramverk för att auktorisera åtkomst till skyddade resurser. En tjänst kan få en åtkomsttoken utan att få resursägarens personliga lösenord.
Begränsat tillstånd
I ett hypotetiskt exempel får en analystjänst läsa beställningar, men inte ändra dem. De tilldelade rättigheterna och målresursen begränsar vad token får användas till. Tjänsten som accepterar den måste kontrollera gränserna.
OAuth är inte i sig en metod för att bevisa en inloggad persons identitet. Att bara ha en token tillåter inte heller alla handlingar. Ett säkert genomförande kräver aktuella säkerhetsråd; äldre exempel på flöden räcker inte ensamma.
Källor
Relaterade begrepp
- APIEtt API anger hur programvara kan använda funktioner eller data som annan programvara erbjuder.
- Identitets- och åtkomsthanteringIAM kopplar digitala identiteter till åtkomsträttigheter. Konton, rollbyten och borttagning av gamla rättigheter hör ihop.
- Principen om minsta behörighetPrincipen begränsar rättigheter till den nödvändiga uppgiften och dess dataområde. Nödvändigt arbete är möjligt; överflödiga befogenheter tas bort.
- WebAuthnWebAuthn är webbläsarens API för inloggning med publika nycklar. Servern måste kontrollera svaret innan den godtar inloggningen.
- PasskeyEn passkey möjliggör inloggning med ett tjänstebundet nyckelpar. Enhetsbyte, kontoåterställning och rättigheter behöver fortfarande hanteras.
- Attributbaserad åtkomstkontrollABAC bedömer åtkomst utifrån definierade egenskaper och regler. Egenskapernas källa och aktualitet är en del av utformningen.
Ditt projekt med ASES
Beskriv ditt projekt för oss. Vi hör av oss med en första bedömning.