Artikel
OAuth: So funktioniert es
Was ist OAuth 2.0?
OAuth ist aus dem „Social Web“ hervorgegangen und hatte ursprünglich das Bestreben, Nutzern die Festlegung von Autorisierungsberechtigungen zu ermöglichen ohne die Zugangsdaten zu den sozialen Medien preisgeben zu müssen. Dies ist allgemein als das Passwort-Antimuster bekannt.
OAuth 2.0 unterstützt den Anwendungsfall der delegierten Autorisierung aus dem Verbrauchernetzwerk, wird aber jetzt auch immer relevanter für Unternehmen und die Cloud. So verwendet zum Beispiel die Firma Salesforce.com das OAuth zum Schutz der vielen APIs, die sie ihren Geschäftskunden anbieten. Unternehmen verwenden OAuth zur Absicherung der APIs, die sie sowohl ihren Partnern und Kunden als auch ihren internen Clients in "Private Cloud"-Modellen anbieten.
Das OAuth 2.0-Protokoll dient im Speziellen der Unterstützung einer Vielzahl verschiedener Client-Typen, die auf REST-APIs zugreifen. Dazu gehören unter anderem Anwendungen, die unternehmensintern auf Webservern laufen und auf die Cloud zugreifen, sowie Anwendungen auf den Mobilgeräten von Mitarbeitern und Kunden. Das OAuth-Protokoll unterstützt diese Client-Types durch die Definition mehrerer Mechanismen zum Erhalt eines Tokens, wobei verschiedene Verfahren die Einschränkungen des Client-Types erkennen.
OpenID Connect wurde auf der Basis eines OAuth-Profils entwickelt und bietet zusätzliche Funktionen bei der Übertragung der Identität des Benutzers einer Anwendung, nicht nur die Anwendung an sich.
So funktioniert OAuth 2.0
Eine wichtige technische Grundlage der Cloud ist das Application Programming Interface (API). Über APIs können externe Instanzen mit vereinheitlichten Methoden auf Cloud-gehostete Dienste zuzugreifen und diese verändern. Das Ausmaß der Bewegungen von Cloud-Daten über APIs statt über Browser wird zunehmen. Für SOAP-basierte APIs (Simple Object Access Protocol) definieren Standards wie beispielsweise WS-Trust und WS-Security, wie die Clients der APIs authentifiziert werden. RESTful-Dienste hingegen haben keine vergleichbaren standardisierten Funktionen.
WS-Trust und WS-Security stellten SOAP API-Clients Hilfsmittel bereit, mit denen Sie Authentifizierungsdaten erhalten und diese an die API-Anfragen anhängen konnten. RESTful API Clients hingegen verwalteten selbst die Anmeldedaten für die Authentifizierung bei den APIs sowie diejenigen APIs, die von verschiedenen Mechanismen für diese Authentifizierung festgelegt wurden.
OAuth 2.0 kann der RESTful-API-Welt die gleiche Funktionalität anbieten, die SOAP-Webdienste durch WS-Trust und WS-Security erhalten. Dies betrifft im Besonderen standardisierte Mechanismen, die API-Clients ermöglichen Tokens zu „erhalten“ und zu „verwenden“, wie zum Beispiel das Präsentieren eines Tokens beim API-Aufruf, um sich selbst zu authentifizieren.
Starten Sie jetzt
Erfahren Sie, wie Ping Sie dabei unterstützen kann, sichere Mitarbeiter- und Kundenerlebnisse in einer sich schnell entwickelnden digitalen Welt zu schaffen.
Kostenlose Demo anfordern