tokenhallintaan

Tokenhallinta on prosessi ja joukko käytäntöjä, joiden avulla tunnisteiden ja käyttöoikeuksien hallinta hoidetaan niiden koko elinkaaren ajan. Siihen kuuluvat tokenien luominen, jakelu, tallennus, kierrätys, mitätöinti sekä vanhentumisen hallinta.

Keskeisiä komponentteja ovat tokenin myöntäjä (authorization server), sekä erilaiset tokenityypit kuten access tokenit, refresh tokenit ja ID-tokenit OpenID Connectissa. Tokenit voivat olla JSON Web Token (JWT) -muotoisia tai umpioituja (opaque). Validointi tapahtuu usein myöntäjän allekirjoituksen varmistuksella tai käyttämällä tokenin introspektiota.

Elinkaari alkaa todentamisen jälkeen, kun järjestelmä myöntää tokenit; sovellukset käyttävät niitä Bearer-tunnuksina HTTP-otsikossa. Access token on yleensä lyhytaikainen, kun taas refresh token mahdollistaa uusien tokenien saamisen ilman uudelleen todentumista. Tokenin mitätöinti sekä kierrätys ja tallennus ovat keskitetysti hallittuja, ja vanhentuneet tokenit poistetaan käytöstä.

Parhaat käytännöt: PKCE:n käyttöönotto julkisille asiakkaille, lyhyet voimassaoloajat, säännöllinen kierrätys sekä tarkka käyttöoikeuksien rajoittaminen (scopes). Lisäksi on tärkeää varmistaa tokenin audiencen ja myöntäjän tarkistukset sekä käyttää TLS-yhteyksiä ja turvallista avainten hallintaa. Tokenin sisällön, kuten vaadittujen toteuttajien (claims), validointi sekä oikea kohde varmistavat asianmukaisen pääsyn.

Turvallisuus: tokenin vuototilanteet voivat johtaa pääsyn menetykseen, joten XSS-suojaukset, palvelinpuolinen validointi ja tokenbindingiin liittyvät menetelmät (esim. DPoP) parantavat turvallisuutta.

Hallinto ja vaatimukset: tokenhallintaa ohjaa politiikka, roolipohjainen pääsynhallinta, lokitus, monitorointi ja auditointi sekä noudattaminen standardien kuten OAuth 2.0 ja OpenID Connect. Lisäksi on tärkeää seurata tokenien käyttöä ja säilyttää tieto siitä, kuka on mitäkin tokeniä käyttänyt.