autorisationsserver

Een autorisationsserver, vaak aangeduid als authorization server, is een component in OAuth 2.0 en OpenID Connect die toestemming van een gebruiker registreert en tokens uitgeeft aan een clientapplicatie. Het fungeert als tussenpersoon tussen de gebruiker, de cliënt en de beveiligde resources en beheert wie toegang krijgt tot welke gegevens.

De autorisationsserver valideert de identiteit van de cliënt en de vereiste parameters, zoals client_id en redirect_uri, en beheert toestemmingen (scopes). Het biedt meestal verschillende endpoints, waaronder een authorization endpoint (start de login en toestemmingsflow), een token endpoint (ruilt een authorization code of credentials in voor access tokens en eventueel refresh tokens) en optionele endpoints voor tokenrestringering, introspectie en, in OpenID Connect, de userinfo-endpoint en een discovery-document dat de beschikbare functionaliteit beschrijft.

Belangrijke flows zijn onder meer de authorization code flow, vaak met PKCE voor publieke clients, en de client credentials flow voor machine-to-machine communicatie. Device authorization en andere flows kunnen ook ondersteund worden. Beveiligingsmaatregelen omvatten het gebruik van TLS, het beperken van tokenlevensduur, het gebruik van PKCE voor publieke cliënten, rotatie en beveiligde opslag van refresh tokens, en mogelijkheden voor intrekking en beoordeling van tokens.

De autorisationsserver staat centraal in identiteits- en toegangsbeheer en werkt samen met resource servers die de feitelijke API’s of data leveren. Het volgt standaarden zoals OAuth 2.0 en OpenID Connect en wordt geïmplementeerd door leveranciers zoals identity providers en onafhankelijke frameworks. Voorbeelden zijn diverse commerciële en open-source oplossingen.