autorisasjonsserver

En autorisasjonsserver er en komponent i autentiserings- og autorisasjonsrammeverket OAuth 2.0 og OpenID Connect. Den autentiserer brukeren og utsteder tokens som gir en klient tilgang til beskyttede ressurser, etter at brukeren har samtykket. Autorisasjonsserveren står i sentrum for innloggingsdialogen, samtykkehåndteringen og tokenutstedelsen, og den kommuniserer med klienter, brukere og ressursservere. I OpenID Connect-arkitekturen kan den også utstede ID-tokens som bekrefter brukerens identitet.

Vanlige flyter inkluderer Authorization Code Flow, som anbefales for serverbaserte eller sensitive klienter; ofte med PKCE for å sikre applikasjoner som kjører i mobil- eller enkeltsidemiljøer. Client Credentials Flow brukes når det ikke er brukerinvolvering, for maskin-til-maskin-kommunikasjon. Password grant har i praksis blitt redusert på grunn av sikkerhetsimplikasjoner. Autorisasjonsserveren utsteder ulike typer tokens: tilgangstokener for Ressursserver-tilgang, refresh tokens for å fornye tilgang uten ny innlogging, og i OpenID Connect også ID-tokens som bekrefter identiteten.

Endepunkter og sikkerhet utgjør kjernen i operasjonen. Autorisasjonsserveren tilbyr et autorisasjonsendepunkt for innloggings- og samtykke, et tokenendepunkt for utstedelse av tokens, og ofte røyk- eller tilbakekallings-/introspectionsender for å vurdere gyldighet. Sikkerhetstiltak inkluderer bruk av TLS, PKCE, sikre redirect-URI-er, og kort levetid på tilgangstokener samt rotation av refresh tokens.

Typiske implementasjoner inkluderer Keycloak, Okta, Auth0 og Microsoft Identity Platform. Autorisasjonsservere kan driftes som selvstendige tjenester eller som en del av en identitetsleverandør, og de støtter integrasjoner med virksomhetens identitetskilder (LDAP, SAML) og ulike innloggingskilder.