OAuth 2.0
Простыми словами
Проще говоря, «OAuth 2.0» помогает команде определить, кто получает доступ, к какому ресурсу, на каких условиях и как это действие контролируется. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «OAuth 2.0» используют так: его учитывают в ролевой модели, правилах выдачи доступа, проверках полномочий и журналировании действий. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При выдаче доступа администратор опирается на понятие «OAuth 2.0»: проверяет полномочия пользователя, ограничивает срок или область доступа и сохраняет событие в журнале.
Не путать с
- OpenID ConnectOpenID Connect (OIDC) — уровень идентификации поверх OAuth 2.0, добавляющий подтверждение личности и ID Token.
- Токен доступаТокен доступа — учётное подтверждение, которое клиент предъявляет ресурсу для выполнения разрешённых операций.
- JWTJWT — компактный формат подписанного или зашифрованного токена с набором утверждений; JWT не всегда является токеном доступа.
Как это работает
- Клиент запрашивает разрешениеПриложение направляет пользователя к authorization server с нужным scope.
- Владелец ресурса подтверждаетСервер аутентифицирует пользователя и получает согласие либо применяет политику.
- Клиент получает токенAuthorization code обменивается на access token в защищённом канале.
- Ресурс проверяет доступAPI валидирует токен, аудиторию, scope, срок и другие обязательные свойства.
Частые вопросы
Проще говоря, «OAuth 2.0» помогает команде определить, кто получает доступ, к какому ресурсу, на каких условиях и как это действие контролируется. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «OAuth 2.0» применяют на практике?В практике ИБ термин «OAuth 2.0» используют так: его учитывают в ролевой модели, правилах выдачи доступа, проверках полномочий и журналировании действий. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «OAuth 2.0» отличается от близких понятий?«OAuth 2.0» описывает следующее: фреймворк делегированной авторизации, позволяющий приложению получить ограниченный доступ к ресурсу без передачи пароля. «OpenID Connect» означает: уровень идентификации поверх OAuth 2.0, добавляющий подтверждение личности и ID Token. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.