Autorisasjonsserveren

En autorisasjonsserveren er en sentral komponent i moderne identitets- og tilgangsstyringssystemer som følger OAuth 2.0- og OpenID Connect-rammeverkene. Den autentiserer ressursinnehaveren og utsteder tilgangstokens og andre nødvendige tokens til klienter etter at riktig samtykke er innhentet. Autorisasjonsserveren fungerer som mellomledd mellom klientapplikasjoner, brukere og ressursservere, og sikrer at tilgang gis i samsvar med tildelte rettigheter og scopes.

Typisk arbeidsflyt innebærer at en klient omdirigerer brukeren til autorisasjonsserveren for samtykke. Etter brukersamtykke utstedes en autorisasjonskode, som klienten senere utveksler mot tilgangstoken og eventuelt oppfriskingstoken. I OpenID Connect utstedes også et ID-token som bekrefter autentisiteten til brukeren. Tilgangstokenet gir tilgang til beskyttede ressurser, mens oppfriskingstoken kan brukes til å hente nye tilgangstokens uten ny innloggingsatferd.

Flere flyter brukes, avhengig av klientens karakter. Den sikre autorisasjonskodeflyten benyttes for konfidensielle klienter, mens PKCE (Proof Key for Code Exchange) gjør offentlige klienter trygge. Mindre anbefalte flyter inkluderer ressursinnehavers passordflyt og klientlegitimasjonsflyt. PKCE reduserer risiko for kodebestikkelse.

Sikkerhet og administrasjon er sentralt. Viktige forhold inkluderer TLS, fornuftige tokenlevetider, begrensede scopes, riktig klientregistrering og validering av redirect-URI, samt støtte for tokenrevolusjon og tokeninspeksjon. OpenID Connect kompletterer OAuth 2.0 ved å tilføre pålitelig brukerautentisering gjennom ID-tokens.

Standards og økosystem: Konseptet er definert i OAuth 2.0 (RFC 6749) og OpenID Connect. Det finnes både åpne og kommersielle implementasjoner, som Keycloak, Okta, Auth0 og IdentityServer, ofte integrert med en kunnressursserver og en identitetsplattform.