Auktorisationsservern

Ett auktorisationsservern är en mjukvarukomponent inom OAuth 2.0 och OpenID Connect som hanterar autentisering av användare och utfärdar tokens till klientapplikationer efter behörig användarautentisering och samtycke. Den fungerar som central aktör för att ge åtkomst till skyddade resurser och att definiera vilka klienter som får vilka rättigheter.

Servern utför användarautentisering, samtycke och tokenutgivning. Vid begäran från en klient startar processen vanligtvis vid authorization endpoint, där användaren loggar in och ger behörighet. Därefter utfärdas tokens via token endpoint, exempelvis access tokens för API-åtkomst och ID tokens i OpenID Connect-flöden.

Vanliga autentiseringsflöden inkluderar Authorization Code Flow med PKCE, vilket är lämpligt för webb- och mobilklienter; Client Credentials Flow för server-till-server-tillämpningar; samt historiskt förekommande Resource Owner Password Credentials, som i praktiken används mycket sparsamt och oftare undviks. Implicit-flödet används i dag i stor utsträckning inte som rekommenderad praxis.

Auktorisationsservern erbjuder flera endpoints och funktioner, bland annat authorization endpoint, token endpoint, revocation endpoint och stöd för jWKs-nycklar. OpenID Connect-stöd innebär även användarinfo och en standardiserad konfigurationscanvas via discovery-dokumentet. En discovery-information gör det möjligt att automatiskt hämta konfiguration och nycklar.

Säkerhet och förvaltning är centrala krav: användning av TLS, PKCE för offentliga klienter, begränsade tokenlättlivslängder, regelbunden nyckelrotation, säkra klientregistreringar och övervakning/utredning av incidenter. Exempel på leverantörer och lösningar inkluderar Keycloak, Okta, Auth0 och Microsoft Entra ID, som fungerar som eller tillhandahåller auktorisationsserverfunktioner.