OAuth 2.0
OAuth korunan kaynaklara sınırlı erişim sağlar. API yetkisi, kendiliğinden kullanıcının kimliğinin doğrulandığı anlamına gelmez.
OAuth 2.0, korunan kaynaklara erişimin yetkilendirilmesi için bir çerçevedir. Hizmet, kaynak sahibinin kişisel parolası kendisine verilmeden erişim belirteci alabilir.
Sınırlı izin
Varsayımsal örnekte analiz hizmeti siparişleri okuyabilir ama değiştiremez. Verilen haklar ve hedef kaynak, belirtecin hangi amaçla kullanılabileceğini sınırlar. Belirteci kabul eden hizmet bu sınırları denetlemelidir.
OAuth tek başına giriş yapan kişinin kimliğini kanıtlama yöntemi değildir. Belirtecin bulunması da her eyleme izin vermez. Güvenli uygulama güncel güvenlik kurallarını dikkate almalıdır; eski akış örnekleri tek başına yeterli değildir.
Kaynaklar
İlgili terimler
- APIAPI, bir yazılımın başka yazılımlardaki işlevleri veya verileri hangi kurallarla kullanabileceğini tanımlar.
- Kimlik ve erişim yönetimiIAM dijital kimliklerle erişim haklarının yönetimini birleştirir. Hesap açma, görev değişimi ve eski yetkilerin kaldırılması birlikte ele alınır.
- En az ayrıcalık ilkesiEn az ayrıcalık, yetkiyi gerekli görev ve veri kapsamıyla sınırlar. Gerekli iş yapılabilir kalır; gereksiz haklar kaldırılır.
- WebAuthnWebAuthn, açık anahtarla giriş için tarayıcı API’sidir. Tarayıcıdan gelen yanıt, giriş kabul edilmeden önce sunucuda kontrol edilmelidir.
- PasskeyPasskey, belirli bir hizmete bağlı anahtar çiftiyle giriş sağlar. Cihaz değişimi, hesabı kurtarma ve hesap yetkileri ayrıca ele alınmalıdır.
- Öznitelik tabanlı erişim kontrolüABAC erişimi tanımlı özellikler ve kurallarla değerlendirir. Bu özelliklerin kaynağı ve güncelliği de tasarımın parçasıdır.
Projeniz ASES ile
Projenizi bize anlatın. İlk değerlendirmemizle size dönelim.