OAuth 2.0
§§IBT7§§¶@definition¶OAuth 2.0 — фреймворк делегированной авторизации, позволяющий приложению получить ограниченный доступ к ресурсу без передачи пароля.¶@plain¶Проще говоря, «OAuth 2.0» помогает команде определить, кто получает доступ, к какому ресурсу, на каких условиях и как это действие контролируется. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¶@use¶В практике ИБ термин «OAuth 2.0» используют так: его учитывают в ролевой модели, правилах выдачи доступа, проверках полномочий и журналировании действий. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.¶@example¶При выдаче доступа администратор опирается на понятие «OAuth 2.0»: проверяет полномочия пользователя, ограничивает срок или область доступа и сохраняет событие в журнале.¶@compare¶OpenID Connect¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/openid-connect¦OpenID Connect (OIDC) — уровень идентификации поверх OAuth 2.0, добавляющий подтверждение личности и ID Token.¤Токен доступа¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/token-dostupa¦Токен доступа — учётное подтверждение, которое клиент предъявляет ресурсу для выполнения разрешённых операций.¶@steps¶Клиент запрашивает разрешение¦Приложение направляет пользователя к authorization server с нужным scope.¤Владелец ресурса подтверждает¦Сервер аутентифицирует пользователя и получает согласие либо применяет политику.¤Клиент получает токен¦Authorization code обменивается на access token в защищённом канале.¤Ресурс проверяет доступ¦API валидирует токен, аудиторию, scope, срок и другие обязательные свойства.¶@resources¶¶@related¶OpenID Connect¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/openid-connect¤Токен доступа¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/token-dostupa¤JWT¦/slovar-informacionnoy-bezopasnosti/identifikaciya-i-dostup/jwt¶@faq¶Что такое «OAuth 2.0» простыми словами?¦Проще говоря, «OAuth 2.0» помогает команде определить, кто получает доступ, к какому ресурсу, на каких условиях и как это действие контролируется. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¤Как «OAuth 2.0» применяют на практике?¦В практике ИБ термин «OAuth 2.0» используют так: его учитывают в ролевой модели, правилах выдачи доступа, проверках полномочий и журналировании действий. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.¤Чем «OAuth 2.0» отличается от близких понятий?¦«OAuth 2.0» описывает следующее: фреймворк делегированной авторизации, позволяющий приложению получить ограниченный доступ к ресурсу без передачи пароля. «OpenID Connect» означает: уровень идентификации поверх OAuth 2.0, добавляющий подтверждение личности и ID Token. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.