Authorizationtunniste

Authorizationtunniste on tunniste, jota käytetään määrittämään, millaisia oikeuksia hakemuksen tekijällä on päästä suojattuihin resursseihin. Tunniste myönnetään todentamisen jälkeen hyväksyntäpalvelimen toimesta ja liitetään pyyntöön osoittamaan, että tekijällä on asianmukaiset oikeudet.

Toimintaperiaate: Kun käyttäjä tai sovellus todentuu, hyväksyntäpalvelin myöntää tunnisteen. Se voi olla suljettu, “opaque” muoto, tai strukturoidtu, kuten JSON Web Token (JWT), ja se sisältää oikeudet (scopes) sekä kohde- ja voimassaolotiedot (audience ja exp). Tunniste lähetetään yleensä HTTP-otsikossa: Authorization: Bearer <tunniste>.

Tyypit ja standardit: Authorizationtunniste liittyy yleisesti OAuth 2.0 -kehykseen ja OpenID Connectiin. Käytössä on sekä käyttöoikeustunnisteita (access tokens) että uudelleentunnistustunnisteita (refresh tokens). Opaque-tunnisteet vaativat palvelimen tulkinnan, kun taas JWT:t voidaan validoida allekirjoituksella ja sisäisillä väitteillä.

Turvallisuus ja hallinta: Käytä HTTPS-yhteyttä, aseta mahdollisimman lyhyet voimassaoloajat ja tue tunnisteen kierrätystä. Suojaa tunniste tallennuksessa ja rajoita sen pääsyä. Toteuta peruutus- ja tarkistusmekanismit sekä tarvittaessa PKCE-malli julkisille asiakkaille; varmista issuer (iss) ja audience (aud) sekä expiration (exp).

Elinkaari: Tunniste vanhentuu ja voi vaatia uuden todentamisen tai refresh-tokenin avulla uuden tunnisteen hankkimisen. Peruutetut tunnisteet hylätään ja pääsy katkaistaan.