Was bedeutet OAuth 2.0?
Die Anwendung erhält dafür ein Zugriffstoken mit vorgesehenen Rechten. Ein typischer Zweck ist, einer freigegebenen Anwendung bestimmte Daten zugänglich zu machen, ohne ihr das persönliche Passwort weiterzugeben.
OAuth ist ein Rahmenwerk mit verschiedenen Abläufen. Die Auswahl muss zur Anwendung und den aktuellen Sicherheitsregeln passen. Eine verlässliche Auskunft über die Identität eines angemeldeten Menschen benötigt zusätzliche Vereinbarungen wie OpenID Connect.
So sieht das in der Praxis aus
Beispiel: Eine freigegebene Integrationsanwendung erhält ein Token zum Lesen bestimmter Rechnungsdaten.
Häufige Fragen
Ist OAuth 2.0 allein ein Anmeldeverfahren?
Es regelt zunächst den Zugriff auf geschützte Ressourcen. Für eine standardisierte Identitätsauskunft über angemeldete Menschen wird häufig OpenID Connect darauf aufgebaut.
Was begrenzt ein Zugriffstoken?
Die erteilten Rechte, die vorgesehene Zielgruppe und gegebenenfalls die Gültigkeitsdauer. Der empfangende Dienst muss diese Bedingungen korrekt prüfen.
Kann man für jede Anwendung denselben OAuth-Ablauf verwenden?
Nein. Browseranwendungen, Serverdienste und andere Clients haben unterschiedliche Voraussetzungen. Der passende Ablauf muss nach aktueller Sicherheitsdokumentation ausgewählt und korrekt umgesetzt werden.