Autorisierungsanfrage

Eine Autorisierungsanfrage ist eine Aufforderung, einem Subjekt den Zugriff auf eine Ressource zu erlauben oder zu verweigern. Sie ist Teil von Zugriffskontrollprozessen und erfolgt in der Regel nach der Authentifizierung, wenn über die Berechtigungen des Subjekts entschieden wird.

Typischerweise werden Autorisierungsentscheidungen anhand vordefinierter Richtlinien getroffen, die Rollen (RBAC), Attribute (ABAC) oder Zugriffskontrolllisten (ACL) berücksichtigen. Eine Autorisierungsanfrage enthält Informationen über das Subjekt, die angeforderte Ressource, die gewünschte Aktion und oft Kontextdaten wie Zeitpunkt, Standort oder Gerät. Die Entscheidungsinstanz vergleicht diese Daten mit den Richtlinien und gibt eine Genehmigung oder Ablehnung zurück.

In vielen modernen Anwendungen erfolgt die Autorisierungsanfrage im Rahmen von Protokollen wie OAuth 2.0 oder ähnlichen Ansätzen. Der Client fordert beim Authorization Server die Berechtigung des Ressourcenbesitzers an, um einen Zugriffstoken zu erhalten. Typische Parameter sind response_type, client_id, redirect_uri, scope und state; bei sicheren Implementierungen wird PKCE eingesetzt. Der Ressourcenbesitzer bestätigt die Anfrage, woraufhin der Server einen Autorisierungscode oder direkt ein Token zurückgeben kann.

Autorisa tionsanfragen unterscheiden sich von Authentifizierungsanfragen, da sie nicht die Identität des Subjekts prüfen, sondern die Berechtigungen. Sicherheitsaspekte umfassen die Verwendung von TLS, minimale Datenerhebung, Schutz vor Manipulation und geeignete Protokollierung. In cloudbasierten und dienstorientierten Umgebungen werden Autorisierungsanfragen häufig durch Identity Provider, Policy-Engines und API-Gateways verarbeitet.