valtuutuskehykseen

Valtuutuskehys on joukko sääntöjä ja protokollia, jotka mahdollistavat kolmannen osapuolen sovellusten pääsyn käyttäjän resursseihin rajoitetuin oikeuksin ilman, että käyttäjän salasanaa jaettaisiin sovellukselle. Keskeistä on erottelu autentikoinnista ja valtuutuksesta: autentikointi varmistaa henkilöllisyyden, kun taas valtuutus määrittelee, mitä toimintoja tai resursseja käyttäjälle sallitaan.

Keskeisiä osapuolia ovat resurssinomistaja (käyttäjä), asiakasohjelma (sovellus), resurssisäilö tai palvelin, jossa resurssit sijaitsevat, sekä valtuutuspalvelin. Prosessin aikana käyttäjä antaa suostumuksensa sovellukselle määriteltyihin oikeuksiin, ja sovellus saa käyttöönsä siihen oikeutetun pääsyn hallitulle resurssille.

Yleisin toteutus on OAuth 2.0 -valtuutuskehys, jossa sovellus saa valtuuden pyytämällä käyttäjää ohjautumaan valtuutuspalvelimeen. Käyttäjä hyväksyy pyynnön, ja sovellus saa vaihtokoodin tai suoraan pääsyoikeuden (access token), jonka avulla se voi pyytää resurssipalvelimelta pääsyä. Käytännössä käyttöoikeudet määritellään laajuuksilla (scopes), ja tokenit voivat olla sekä pääsyoikeuksia että päivitettäviä (refresh tokens). Tokenin voimassaoloaika on rajoitettu.

Turvallisuutta vahvistetaan noudattamalla vähimmän oikeuden periaatetta, käyttämällä lyhyitä voimassaoloaikoja, mahdollisuutta peruuttaa pääsyoikeuksia sekä turvallisia käytäntöjä julkisille asiakkaille (esim. PKCE). Valtuutuskehykset ovat keskeisessä asemassa modernissa verkkopalveluiden ja mobiilisovellusten turvallisuudessa, ja ne täydentävät autentikoinnin toteuttamalla käyttöoikeuksien hallinnan erikseen. Esimerkkejä ovat OAuth 2.0 sekä siihen liittyvät laajennukset; UMA ja muiden hallintamallien huomioivat käyttäjämääritysten ja resurssien hallinnan erilaisilla lähestymistavoilla.