Использование OpenId Connect для защиты API

Question

У меня есть несколько REST API, которые я хочу защитить федеративным сервером авторизации. Эта страница: https://oauth.net/articles/authentication/ предполагает, что только OAuth2 недостаточно для аутентификации, и для этого следует использовать расширение OpenId Connect.

Однако у меня такое ощущение, что какой OID C только определяет конечную точку идентификации и связанные области и утверждения. Если мне не нужны эти утверждения идентичности, что плохого в использовании простого кода авторизации OAuth для аутентификации пользователя и защиты ресурса? Или OAuth2 предназначен только для делегирования доступа клиентскому приложению, которое работает от имени пользователя (что не является моим использованием cas)?

Спасибо за вводы!

Answer 1

Большая часть работы, связанной с аутентификацией конечных пользователей, происходит на стороне пользовательского интерфейса и, конечно же, включает перенаправления авторизации, поставщиков удостоверений, формы согласия и т. Д.

Что касается кода для защищенного REST API, вы вместо этого выполните следующие действия. Как вы говорите, это в первую очередь поведение OAuth 2.0, хотя конечные точки Open Id Connect могут быть полезны:

• Проверка полученных токенов доступа от Сервера авторизации
• Чтение утверждений токенов для идентификации аутентифицированного пользователя
• Для этого вам может потребоваться загрузить ключи подписи токенов из конечной точки JWKS
• Ваш API может искать дополнительные сведения из конечной точки User Info
• Ваш API может использовать конечная точка метаданных для получения указанных выше местоположений конечных точек
• Затем ваш API будет применять правила авторизации на основе утверждений и областей

Answer 2

OAuth - это структура авторизации. До OpenID Connect некоторые организации все чаще использовали OAuth в качестве механизма аутентификации, как вы указали в своем вопросе. Хотя это технически возможно, изобилует несоответствиями между реализациями. Стандартизация этого метода появилась с OpenID Connect, где эта группа поставщиков по существу сказала, что давайте разработаем стандартизированный подход к тому, что мы делаем. Преимущества стандартизированного подхода - сотрудничество, безопасность и т. Д. c. Так родилась область действия OAuth в openid.