autorisationsserveren

En autorisasjonsserver er en sentral komponent i protokollene OAuth 2.0 og OpenID Connect. Den utsteder tilgangstokens, autorisasjonskoder og/eller ID-tokens til klienter etter at ressurs-eieren har blitt autentisert og gitt samtykke til å dele ressurser. Autorisasjonsserveren autentiserer brukeren, validerer klientens identitet og kontrollerer hvilke ressurser og handlinger en klient har tillatelse til.

Autorisasjonsserveren håndterer brukerautentisering, samtykke og policyer, og registrerer og administrerer klientkonfigurasjoner. Viktige endepunkter inkluderer autorisasjonsendepunktet, der brukeren interagerer med innloggings- og samtykkeflyten, og token-endepunktet, der en bytter en autorisasjonskode eller andre gitte legitimasjoner mot tilgangstokens. Avhengig av implementasjonen kan det også finnes endepunkter for revokasjon, token-introspeksjon og, i OpenID Connect, brukerinfo.

Tokens og klienttyperع Tokens utstedt av autorisasjonsserveren brukes av ressursservere til å få tilgang til beskyttede data. Enheten kan også utstede refresh tokens for å fornye tilgang without brukerinnlogging. Begreper som PKCE (Proof Key for Code Exchange) er vesentlige for sikre offentlige klienter, og klienter klassifiseres ofte som offentlige eller konfidensielle basert på hvordan hemmeligheter beskyttes.

Sikkerhet og beste praksis inkluderer bruk av TLS, streng validering av redirect-URIs, bruk av state-parameter for CSRF-beskyttelse, samt korte levetider for tilgangstokens og roterende refresh tokens der det er støttet. Autorisasjonsserveren er ofte en del av en identitetsleverandør og kan integreres med flere applikasjoner og tjenestekonsumenter. Eksempler på kjente implementeringer inkluderer Keycloak, Okta, Auth0 og Microsoft Entra ID.

---