OAuth और OpenID Connect के लिए एक इलस्ट्रेटेड गाइड

टिप्पणी। अनुवाद।: ओक्टा का यह बेहतरीन लेख बताता है कि कैसे OAuth और OIDC (OpenID Connect) सरल और स्पष्ट तरीके से काम करते हैं। यह ज्ञान डेवलपर्स, सिस्टम प्रशासकों और यहां तक ​​कि लोकप्रिय वेब अनुप्रयोगों के "नियमित उपयोगकर्ताओं" के लिए उपयोगी होगा, जो अन्य सेवाओं के साथ गोपनीय डेटा का आदान-प्रदान भी करते हैं।

इंटरनेट के पाषाण युग में, सेवाओं के बीच सूचना साझा करना आसान था। आपने बस एक सेवा से दूसरी सेवा को अपना लॉगिन और पासवर्ड दिया, ताकि वह आपके खाते में प्रवेश कर सके और उसे कोई भी आवश्यक जानकारी प्राप्त हो सके।

"मुझे अपना बैंक खाता दो।" "हम वादा करते हैं कि पासवर्ड और पैसे के साथ सब कुछ ठीक हो जाएगा। यह ईमानदार है, ईमानदार है!" *ही ही*

डरावना! किसी को भी उपयोगकर्ता नाम और पासवर्ड साझा करने के लिए कभी भी उपयोगकर्ता की आवश्यकता नहीं होनी चाहिए, साख, अन्य सेवा के साथ। इस बात की कोई गारंटी नहीं है कि इस सेवा के पीछे का संगठन डेटा को सुरक्षित रखेगा और आवश्यकता से अधिक व्यक्तिगत जानकारी एकत्र नहीं करेगा। यह पागल लग सकता है, लेकिन कुछ ऐप्स अभी भी इस अभ्यास का उपयोग करते हैं!

आज एक ही मानक है जो एक सेवा को दूसरी सेवा के डेटा का सुरक्षित रूप से उपयोग करने की अनुमति देता है। दुर्भाग्य से, ऐसे मानक बहुत सारे शब्दजाल और शब्दों का उपयोग करते हैं, जिससे उन्हें समझना मुश्किल हो जाता है। इस सामग्री का उद्देश्य यह बताना है कि वे सरल चित्रों का उपयोग करके कैसे काम करते हैं (सोचिए कि मेरे चित्र बच्चों के डबिंग की तरह दिखते हैं? ओह ठीक है!)।

वैसे, यह मार्गदर्शिका वीडियो प्रारूप में भी उपलब्ध है:

देवियों और सज्जनों, स्वागत है: OAuth 2.0

ओएथ 2.0 एक सुरक्षा मानक है जो एक एप्लिकेशन को दूसरे एप्लिकेशन में जानकारी एक्सेस करने की अनुमति प्राप्त करने की अनुमति देता है। परमिट जारी करने के लिए चरणों का क्रम [अनुमति] (या सहमति [सहमति]) अक्सर फोन करते हैं प्राधिकार [प्राधिकरण] या यहाँ तक कि प्रत्यायोजित प्राधिकरण [प्रत्यायोजित प्राधिकरण]. इस मानक के साथ, आप किसी एप्लिकेशन को अपना पासवर्ड दिए बिना डेटा पढ़ने या किसी अन्य एप्लिकेशन के कार्यों का उपयोग करने की अनुमति देते हैं। कक्षा!

एक उदाहरण के रूप में, मान लें कि आप "दिन का अशुभ समय" नामक साइट खोजते हैं [दिन का भयानक यमक] और फोन पर पाठ संदेशों के रूप में दैनिक दंड प्राप्त करने के लिए उस पर पंजीकरण करने का निर्णय लिया। आपको वास्तव में साइट पसंद आई, और आपने इसे अपने सभी दोस्तों के साथ साझा करने का निर्णय लिया। आखिरकार, सभी को खौफनाक सजा पसंद है, है ना?

"दिन का दुर्भाग्यपूर्ण वाक्य: उस व्यक्ति के बारे में सुना है जिसने अपने शरीर का बायां आधा भाग खो दिया है? अब वह हमेशा सही होता है!" (अनुमानित अनुवाद, क्योंकि मूल का अपना वाक्य है - लगभग अनुवाद।)

यह स्पष्ट है कि संपर्क सूची से प्रत्येक व्यक्ति को लिखना कोई विकल्प नहीं है। और अगर आप मेरी तरह थोड़े भी हैं, तो अनावश्यक काम से बचने के लिए आप किसी भी हद तक जा सकते हैं। सौभाग्य से, टेरिबल पन ऑफ द डे आपके सभी दोस्तों को अकेले ही आमंत्रित कर सकता है! ऐसा करने के लिए, आपको बस अपने संपर्कों के ईमेल तक पहुंच खोलनी होगी - साइट स्वयं उन्हें निमंत्रण (OAuth नियम) भेजेगी!

“हर कोई सज़ा प्यार करता है! - पहले से लॉग्ड इन? "क्या आप टेरिबल पन ऑफ द डे वेबसाइट को अपनी संपर्क सूची तक पहुंचने की अनुमति देना चाहेंगे? - धन्यवाद! अब से, हम समय के अंत तक हर दिन उन सभी को रिमाइंडर भेजेंगे जिन्हें आप जानते हैं! आप सबसे अच्छे दोस्त हैं!"

1. अपनी ईमेल सेवा चुनें।
2. यदि आवश्यक हो, तो मेल साइट पर जाएं और अपने खाते में साइन इन करें।
3. टेरिबल पन ऑफ द डे को अपने संपर्कों तक पहुंचने की अनुमति दें।
4. टेरिबल पन ऑफ द डे साइट पर लौटें।

यदि आप अपना विचार बदलते हैं, तो OAuth का उपयोग करने वाले एप्लिकेशन पहुंच को रद्द करने का एक तरीका भी प्रदान करते हैं। एक बार जब आप तय कर लेते हैं कि आप दिन के भयानक समय के साथ संपर्क साझा नहीं करना चाहते हैं, तो आप मेल साइट पर जा सकते हैं और अधिकृत अनुप्रयोगों की सूची से पन साइट को हटा सकते हैं।

OAuth फ़्लो

हम अभी-अभी उस चीज़ से गुज़रे हैं जिसे आमतौर पर कहा जाता है प्रवाह [प्रवाह] OAuth। हमारे उदाहरण में, इस प्रवाह में दृश्यमान चरणों के साथ-साथ कई अदृश्य चरण शामिल हैं, जिसमें दो सेवाएं सूचनाओं के सुरक्षित आदान-प्रदान पर सहमत होती हैं। पिछला टेरिबल पन ऑफ द डे उदाहरण सबसे सामान्य OAuth 2.0 प्रवाह का उपयोग करता है, जिसे "प्राधिकरण कोड" प्रवाह के रूप में जाना जाता है। ["प्राधिकरण कोड" प्रवाह].

OAuth कैसे काम करता है, इसके विवरण में गोता लगाने से पहले, आइए कुछ शब्दों के अर्थ के बारे में बात करें:

• संसाधन स्वामी:

  
  
  आप ही हैं! आप अपने क्रेडेंशियल्स, अपने डेटा के स्वामी हैं और उन सभी गतिविधियों को नियंत्रित करते हैं जो आपके खातों पर की जा सकती हैं।

• ग्राहक:

  
  
  एक एप्लिकेशन (उदाहरण के लिए, टेरिबल पन ऑफ द डे सर्विस) जो की ओर से कुछ कार्यों को एक्सेस करना या निष्पादित करना चाहता है संसाधन स्वामी'ए.

• प्राधिकरण सर्वर:

  
  
  ऐप जो जानता है संसाधन स्वामी'ए और जिसमें यू संसाधन स्वामी'a का पहले से ही एक खाता है।

• संसाधन सर्वर:

  
  
  एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस (एपीआई) या सेवा ग्राहक की ओर से उपयोग करना चाहता है संसाधन स्वामी'ए.

• रीडायरेक्ट यूआरआई:

  
  
  वह कड़ी प्राधिकरण सर्वर पुनर्निर्देशित करेगा संसाधन स्वामी'और अनुमति देने के बाद ग्राहक'पर। इसे कभी-कभी "कॉलबैक URL" के रूप में संदर्भित किया जाता है।

• प्रतिक्रिया प्रकार:

  
  
  प्राप्त होने वाली अपेक्षित सूचना का प्रकार ग्राहक. सबसे आम प्रतिक्रिया प्रकार'ओम कोड है, वह है ग्राहक प्राप्त करने की अपेक्षा करता है प्राधिकरण कोड.

• विस्तार:

  
  
  यह आवश्यक अनुमतियों का विस्तृत विवरण है ग्राहकवाई, जैसे डेटा तक पहुंचना या कुछ क्रियाएं करना।

• Consent:

  
  
  प्राधिकरण सर्वर बेरेत Scopesका अनुरोध किया ग्राहकॐ, और पूछता है संसाधन स्वामी'ए, वह प्रदान करने के लिए तैयार है ग्राहक'उचित अनुमति है।

• ग्राहक आईडी:

  
  
  इस आईडी का इस्तेमाल पहचान करने के लिए किया जाता है ग्राहक'एक चालू प्राधिकरण सर्वर'इ।

• ग्राहक गुप्त:

  
  
  यह एक ऐसा पासवर्ड है जिसे केवल जाना जाता है ग्राहक'यू और प्राधिकरण सर्वर'पर। यह उन्हें निजी तौर पर जानकारी साझा करने की अनुमति देता है।

• प्राधिकरण कोड:

  
  
  वैधता की एक छोटी अवधि के साथ अस्थायी कोड, जो ग्राहक प्रदान करता है प्राधिकरण सर्वरवाई के बदले में एक्सेस टोकन.

• एक्सेस टोकन:

  
  
  वह कुंजी जिसके साथ क्लाइंट संचार करने के लिए उपयोग करेगा संसाधन सर्वरॐ. एक प्रकार का बैज या कुंजी कार्ड जो प्रदान करता है ग्राहक'डेटा का अनुरोध करने या कार्रवाई करने की अनुमति है संसाधन सर्वरआपकी ओर से।

नोट: कभी-कभी प्राधिकरण सर्वर और संसाधन सर्वर एक ही सर्वर होते हैं। हालाँकि, कुछ मामलों में, ये अलग-अलग सर्वर हो सकते हैं, भले ही वे एक ही संगठन से संबंधित न हों। उदाहरण के लिए, प्राधिकरण सर्वर संसाधन सर्वर द्वारा विश्वसनीय तृतीय पक्ष सेवा हो सकती है।

अब जबकि हमने OAuth 2.0 की मूल अवधारणाओं को कवर कर लिया है, आइए अपने उदाहरण पर वापस जाएं और करीब से देखें कि OAuth प्रवाह में क्या होता है।

1. आप, संसाधन स्वामी, आप आज की भयानक सेवा प्रदान करना चाहते हैं (ग्राहकy) आपके संपर्कों तक पहुंच ताकि वे आपके सभी मित्रों को आमंत्रण भेज सकें।
2. ग्राहक ब्राउज़र को पेज पर रीडायरेक्ट करता है प्राधिकरण सर्वर'ए और क्वेरी में शामिल करें ग्राहक आईडी, रीडायरेक्ट यूआरआई, प्रतिक्रिया प्रकार और एक या अधिक Scopes (अनुमतियाँ) इसकी आवश्यकता है।
3. प्राधिकरण सर्वर यदि आवश्यक हो तो उपयोगकर्ता नाम और पासवर्ड मांगते हुए आपको सत्यापित करता है।
4. प्राधिकरण सर्वर एक रूप प्रदर्शित करता है Consent (पुष्टि) सभी की सूची के साथ Scopesका अनुरोध किया ग्राहकॐ. आप सहमत हों या मना करें।
5. प्राधिकरण सर्वर आपको साइट पर रीडायरेक्ट करता है ग्राहकए, का उपयोग कर रीडायरेक्ट यूआरआई साथ प्राधिकरण कोड (प्राधिकरण संकेत - लिपि)।
6. ग्राहक से सीधा संवाद करता है प्राधिकरण सर्वर'ओम (ब्राउज़र को छोड़कर संसाधन स्वामी'ए) और सुरक्षित रूप से भेजता है ग्राहक आईडी, ग्राहक गुप्त и प्राधिकरण कोड.
7. प्राधिकरण सर्वर डेटा की जाँच करता है और इसके साथ प्रतिक्रिया करता है एक्सेस टोकनॐ (एक्सेस टोकन)।
8. अब ग्राहक इस्तेमाल कर सकते हैं एक्सेस टोकन को अनुरोध भेजने के लिए संसाधन सर्वर संपर्कों की सूची प्राप्त करने के लिए।

क्लाइंट आईडी और सीक्रेट

आपके द्वारा अपने संपर्कों तक पहुँचने के लिए दिन के भयानक समय की अनुमति देने से बहुत पहले, क्लाइंट और प्राधिकरण सर्वर ने एक कामकाजी संबंध स्थापित किया था। प्राधिकरण सर्वर ने क्लाइंट आईडी और क्लाइंट सीक्रेट (कभी-कभी कहा जाता है अनुप्रयोग आईडी и ऐप सीक्रेट) और उन्हें OAuth के भीतर आगे की बातचीत के लिए क्लाइंट को भेज दिया।

"- नमस्ते! मैं आपके साथ काम करना चाहूंगा! - ज़रूर, कोई समस्या नहीं है! ये रही आपकी क्लाइंट आईडी और सीक्रेट!”

नाम का तात्पर्य है कि क्लाइंट सीक्रेट को गुप्त रखा जाना चाहिए ताकि केवल क्लाइंट और प्राधिकरण सर्वर ही इसे जान सकें। आखिरकार, यह उसकी मदद से है कि प्राधिकरण सर्वर क्लाइंट की सच्चाई की पुष्टि करता है।

लेकिन इतना ही नहीं... कृपया OpenID Connect का स्वागत करें!

OAuth 2.0 केवल के लिए डिज़ाइन किया गया है प्राधिकार - एक एप्लिकेशन से दूसरे एप्लिकेशन में डेटा और फ़ंक्शंस तक पहुंच प्रदान करने के लिए। OpenID कनेक्ट (OIDC) OAuth 2.0 के ऊपर एक पतली परत है जो खाते में साइन इन किए गए उपयोगकर्ता के लॉगिन और प्रोफ़ाइल विवरण जोड़ती है। एक लॉगिन सत्र के संगठन को अक्सर कहा जाता है प्रमाणीकरण [प्रमाणीकरण], और सिस्टम में लॉग इन किए गए उपयोगकर्ता के बारे में जानकारी (यानी के बारे में संसाधन स्वामी'इ), - व्यक्तिगत डेटा [पहचान]. यदि प्राधिकरण सर्वर ओआईडीसी का समर्थन करता है, तो इसे कभी-कभी कहा जाता है व्यक्तिगत डेटा प्रदाता [पहचान प्रदाता]क्योंकि यह प्रदान करता है ग्राहक'के बारे में जानकारी है संसाधन स्वामी'इ।

ओपनआईडी कनेक्ट आपको उन परिदृश्यों को लागू करने की अनुमति देता है जहां एक ही लॉगिन का उपयोग कई अनुप्रयोगों में किया जा सकता है - इस दृष्टिकोण को इस रूप में भी जाना जाता है एक बार दर्ज करना (एसएसओ)। उदाहरण के लिए, एक एप्लिकेशन फेसबुक या ट्विटर जैसे सामाजिक नेटवर्क के साथ एसएसओ एकीकरण का समर्थन कर सकता है, जिससे उपयोगकर्ता पहले से मौजूद खाते का उपयोग कर सकते हैं और उपयोग करना पसंद करते हैं।

प्रवाह (प्रवाह) OpenID Connect OAuth के समान ही दिखता है। फर्क सिर्फ इतना है कि प्राइमरी रिक्वेस्ट में स्पेसिफिक स्कोप का इस्तेमाल किया जाता है openid, - ए ग्राहक अंततः जैसा हो जाता है एक्सेस टोकनऔर आईडी टोकन.

ठीक OAuth प्रवाह की तरह, एक्सेस टोकन ओपनआईडी कनेक्ट में, यह कुछ मूल्य है जो स्पष्ट नहीं है ग्राहक'पर। दृष्टिकोण से ग्राहक‘а एक्सेस टोकन प्रत्येक अनुरोध के साथ पास किए गए वर्णों की एक स्ट्रिंग का प्रतिनिधित्व करता है संसाधन सर्वर'y, जो निर्धारित करता है कि टोकन वैध है या नहीं। आईडी टोकन पूरी तरह से अलग चीज का प्रतिनिधित्व करता है।

आईडी टोकन एक जेडब्ल्यूटी है

आईडी टोकन JSON वेब टोकन या JWT के रूप में जाने जाने वाले वर्णों की एक विशेष रूप से स्वरूपित स्ट्रिंग है (कभी-कभी JWT टोकन का उच्चारण "जोट्स" की तरह किया जाता है). बाहरी पर्यवेक्षकों के लिए, जेडब्ल्यूटी समझ से बाहर अस्पष्ट की तरह लग सकता है, लेकिन ग्राहक JWT से आईडी, उपयोगकर्ता नाम, लॉगिन समय, समाप्ति तिथि जैसी विभिन्न जानकारी निकाल सकते हैं आईडी टोकन'ए, जेडब्ल्यूटी के साथ हस्तक्षेप करने के प्रयासों की उपस्थिति। डेटा अंदर आईडी टोकनक कहलाते हैं अनुप्रयोग [दावा].

ओआईडीसी के मामले में एक मानक तरीका भी है जिसके द्वारा ग्राहक व्यक्ति के बारे में अतिरिक्त जानकारी का अनुरोध कर सकता है [पहचान] से प्राधिकरण सर्वर'ए, उदाहरण के लिए, एक ईमेल पता का उपयोग कर एक्सेस टोकन.

OAuth और OIDC के बारे में और जानें

इसलिए, हमने संक्षेप में समीक्षा की कि OAuth और OIDC कैसे काम करते हैं। गहरी खुदाई करने के लिए तैयार हैं? OAuth 2.0 और OpenID Connect के बारे में अधिक जानने में आपकी सहायता के लिए यहां अतिरिक्त संसाधन दिए गए हैं:

• ओथ क्या है?
• कोई भी OAuth या OpenID Connect की परवाह नहीं करता
• पीकेसीई प्रवाह के साथ OAuth 2.0 प्राधिकरण कोड लागू करें
• OAuth 2.0 अनुदान प्रकार क्या है?
• OAuth 2.0 कमांड लाइन से
• SQL सर्वर के साथ एक सुरक्षित Node.js ऐप बनाएं

हमेशा की तरह, बेझिझक टिप्पणी करें। हमारी ताज़ा ख़बरों से अपडेट रहने के लिए, सब्सक्राइब करें ट्विटर и यूट्यूब डेवलपर्स के लिए ओक्टा!

अनुवादक से पी.एस

हमारे ब्लॉग पर भी पढ़ें:

• «कुबेरनेट्स में सुरक्षा का एबीसी: प्रमाणीकरण, प्राधिकरण, लेखा परीक्षा";
• «Kubernetes में उपयोगकर्ता और प्राधिकरण RBAC";
• «33+ कुबेरनेट्स सुरक्षा उपकरण";
• «डॉकटर कंटेनरों के लिए सुरक्षा'.

स्रोत: www.habr.com