ഐഡന്റിറ്റിസെർവർ4. അടിസ്ഥാന സങ്കൽപങ്ങൾ. OpenID കണക്ട്, OAuth 2.0, JWT

ഈ പോസ്റ്റിനൊപ്പം IdentityServer4-ന് സമർപ്പിച്ചിരിക്കുന്ന ലേഖനങ്ങളുടെ ഒരു ത്രെഡ് തുറക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. അടിസ്ഥാന ആശയങ്ങളിൽ നിന്ന് ആരംഭിക്കാം.

നിലവിൽ ഏറ്റവും പ്രതീക്ഷ നൽകുന്ന പ്രാമാണീകരണ പ്രോട്ടോക്കോൾ ആണ് ഓപ്പൺഐഡി കണക്റ്റ്, കൂടാതെ അംഗീകാര പ്രോട്ടോക്കോൾ (ആക്സസ് നൽകുന്നത്) ആണ് OAuth 2.0. ഐഡന്റിറ്റിസെർവർ4 ഈ രണ്ട് പ്രോട്ടോക്കോളുകളും നടപ്പിലാക്കുന്നു. ഇത് പരിഹരിക്കാൻ ഒപ്റ്റിമൈസ് ചെയ്തിരിക്കുന്നു സാധാരണ പ്രശ്നങ്ങൾ സുരക്ഷ.

ഓപ്പൺഐഡി കണക്റ്റ് ഒരു പ്രാമാണീകരണ പ്രോട്ടോക്കോളും സ്റ്റാൻഡേർഡും ആണ്, ഇത് ഉറവിടങ്ങളിലേക്ക് (വെബ് API) പ്രവേശനം നൽകുന്നില്ല, എന്നാൽ മുതൽ അംഗീകാര പ്രോട്ടോക്കോളിന് മുകളിലാണ് ഇത് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത് OAuth 2.0, നിങ്ങൾക്ക് റിസോഴ്സിലേക്ക് ആക്സസ് ഉള്ളതുപോലെ ഉപയോക്തൃ പ്രൊഫൈൽ പാരാമീറ്ററുകൾ ലഭിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു യൂസർഇൻഫോ.

ജെ.ഡബ്ല്യു.ടി (JSON വെബ് ടോക്കൺ) ഒരു എൻക്രിപ്റ്റ് ചെയ്ത രൂപത്തിൽ ഉപയോക്തൃ ഡാറ്റ JSON ഫോർമാറ്റിൽ കൈമാറുന്നതിനുള്ള ഒരു മാർഗം നിർവചിക്കുന്ന ഒരു വെബ് സ്റ്റാൻഡേർഡാണ്.

OAuth 2.0 (RFC 6749) ഒരു അംഗീകാര പ്രോട്ടോക്കോളും സ്റ്റാൻഡേർഡുമാണ്. വെബ് API-കൾ പോലുള്ള സംരക്ഷിത ഉറവിടങ്ങൾ ആക്സസ് ചെയ്യാൻ ഇത് അപ്ലിക്കേഷനുകളെ അനുവദിക്കുന്നു.

ഒരു സംരക്ഷിത ഉറവിടം ആക്സസ് ചെയ്യുന്നതിനുള്ള ഡയഗ്രം നോക്കാം, പ്രധാന ഘട്ടങ്ങളും അംഗീകൃത പദാവലിയും മനസ്സിലാക്കാം:

1. ക്ലയന്റ് അതിന്റെ പേരിൽ ആധികാരികത ഉറപ്പാക്കാൻ ഉപയോക്താവിൽ നിന്ന് അനുമതി അഭ്യർത്ഥിക്കുന്നു. ഉപഭോക്താവ് റിസോഴ്സ് ഉടമയുടെ പേരിൽ പരിരക്ഷിത ഉറവിടങ്ങൾ ആക്സസ് ചെയ്യുന്ന ഒരു ക്ലയന്റ് ആപ്ലിക്കേഷനാണ്. വിഭവം - ഇവയെല്ലാം ഞങ്ങളുടെ പരിരക്ഷിത സേവനങ്ങളാണ് വെബ് API.

2. ഉപഭോക്താവ് ക്ലയന്റ് ആപ്ലിക്കേഷനെ തന്റെ പേരിൽ പ്രാമാണീകരിക്കാൻ അനുവദിക്കുന്നു, ഉദാഹരണത്തിന്, ഒരു ലോഗിൻ, പാസ്‌വേഡ് എന്നിവ നൽകി. ലോഗിനും പാസ്‌വേഡും ക്ലയന്റ് ആപ്ലിക്കേഷന്റെ ഒരു അംഗീകാര ഗ്രാന്റായിരിക്കും. ഉപയോക്താവ് (വിഭവ ഉടമ) — ഒരു ലോഗിൻ (ഉപയോക്തൃനാമം), പാസ്വേഡ് (പാസ്വേഡ്) എന്നിവ നൽകിക്കൊണ്ട്, സംരക്ഷിത ഉറവിടങ്ങളിലേക്ക് ആക്സസ് അനുവദിക്കാൻ കഴിയുന്ന ഒരു പ്രോഗ്രാം അല്ലെങ്കിൽ വ്യക്തി;

3. ക്ലയന്റ് ആപ്ലിക്കേഷൻ ഒരു ആക്സസ് ടോക്കൺ അഭ്യർത്ഥിക്കുന്നു IdentityServer4 നിങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ നൽകിക്കൊണ്ട് (client_id, client_secret), ഉപയോക്താവിൽ നിന്ന് അംഗീകാര അനുമതി നൽകുന്നു (username, password) നൽകുകയും ചെയ്യുന്നു grant_type и scope. തുടർന്ന് അംഗീകൃത സെർവർ ക്ലയന്റിന്റെ ആധികാരികതയും ഉറവിട ഉടമയുടെ വിശദാംശങ്ങളും (ലോഗിൻ, പാസ്‌വേഡ്) പരിശോധിക്കുന്നു.

   OAuth 2.0 പ്രോട്ടോക്കോൾ ഉപയോക്താവിനെ മാത്രമല്ല, ഉറവിടങ്ങൾ ആക്സസ് ചെയ്യുന്ന ക്ലയന്റ് ആപ്ലിക്കേഷനെയും പ്രാമാണീകരിക്കുന്നു. ഈ ആവശ്യത്തിനായി, പ്രോട്ടോക്കോൾ അത്തരം പരാമീറ്ററുകൾ നൽകുന്നു client_id и ക്ലയന്റ്_രഹസ്യം.
   client_id ഉപയോഗിക്കുന്ന ക്ലയന്റ് ആപ്ലിക്കേഷൻ ഐഡന്റിഫയർ ആണ് IdentityServer4 ക്ലയന്റിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ തിരയാൻ.
   ക്ലയന്റ്_രഹസ്യം ഒരു ക്ലയന്റ് ആപ്ലിക്കേഷന്റെ പാസ്‌വേഡിനോട് സാമ്യമുള്ളതാണ് കൂടാതെ ക്ലയന്റ് ആപ്ലിക്കേഷനെ ആധികാരികമാക്കാൻ ഉപയോഗിക്കുന്നു IdentityServer4. ക്ലയന്റ് രഹസ്യം ആപ്ലിക്കേഷനും API നും മാത്രമേ അറിയാവൂ. മേൽപ്പറഞ്ഞവയെ അടിസ്ഥാനമാക്കി, ഞങ്ങൾ അത് നിഗമനം ചെയ്യുന്നു IdentityServer4-ന് അതിന്റെ ക്ലയന്റുകളെ കുറിച്ച് അറിയേണ്ടതുണ്ട്.

4. ആപ്ലിക്കേഷൻ ആധികാരികതയുള്ളതും അംഗീകാര അനുമതി സാധുതയുള്ളതുമാണെങ്കിൽ, IdentiryServer4 സൃഷ്ടിക്കുന്നു access-токен (ആക്സസ് ടോക്കൺ) ആപ്ലിക്കേഷനും ഒരു ഓപ്ഷണൽ റിഫ്രഷ് കീയും (refresh-токен). അംഗീകാര പ്രക്രിയ പൂർത്തിയായി. അഭ്യർത്ഥന അസാധുവോ അനധികൃതമോ ആണെങ്കിൽ, അംഗീകൃത സെർവർ ഉചിതമായ പിശക് സന്ദേശമുള്ള ഒരു കോഡ് നൽകുന്നു.

5. ക്ലയന്റ് ആപ്ലിക്കേഷൻ ഡാറ്റയ്‌ക്കായി ഒരു സുരക്ഷിത വെബ് API ആക്‌സസ് ചെയ്യുന്നു, അംഗീകാരത്തിനായി ഒരു ആക്‌സസ് ടോക്കൺ നൽകുന്നു. റിസോഴ്സ് സെർവർ പ്രതികരണ കോഡ് ആണെങ്കിൽ 401, 403 അഥവാ 498, തുടർന്ന് പ്രാമാണീകരണത്തിനായി ഉപയോഗിക്കുന്ന ആക്സസ് ടോക്കൺ അസാധുവാണ് അല്ലെങ്കിൽ കാലഹരണപ്പെട്ടതാണ്.

6. ടോക്കൺ സാധുവാണെങ്കിൽ, Web API ആപ്ലിക്കേഷനിലേക്ക് ഡാറ്റ നൽകുന്നു.

ടോക്കണുകളുടെ തരങ്ങൾ

ൽ രജിസ്റ്റർ ചെയ്തു IdentityServer4 ക്ലയന്റുകൾക്ക് അഭ്യർത്ഥിക്കാൻ അനുവാദമുണ്ട് IdentityServer4 identity- ടോക്കൺ, access- ടോക്കൺ ഒപ്പം refresh- ടോക്കൺ.

• ഐഡന്റിറ്റി ടോക്കൺ (തിരിച്ചറിയൽ ടോക്കൺ) - പ്രാമാണീകരണ പ്രക്രിയയുടെ ഫലം. ഉപയോക്തൃ ഐഡിയും ഉപയോക്താവിനെ എങ്ങനെ, എപ്പോൾ പ്രാമാണീകരിക്കുന്നു എന്നതിനെക്കുറിച്ചുള്ള വിവരങ്ങളും അടങ്ങിയിരിക്കുന്നു. നിങ്ങളുടെ സ്വന്തം ഡാറ്റ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഇത് വികസിപ്പിക്കാൻ കഴിയും.
• പ്രവേശന ടോക്കൺ — ഒരു സംരക്ഷിത API-യിലേക്ക് കൈമാറുകയും അതിന്റെ ഡാറ്റയിലേക്ക് അംഗീകാരം നൽകുന്നതിന് (ആക്സസ് അനുവദിക്കുകയും) അത് ഉപയോഗിക്കുന്നു.
• പുതുക്കൽ-ടോക്കൺ (പുതുക്കുക ടോക്കൺ) ഒരു ആക്സസ് ടോക്കൺ അഭ്യർത്ഥനയ്ക്കുള്ള പ്രതികരണമായി അംഗീകാര സെർവറിന് നൽകാനാകുന്ന ഒരു ഓപ്ഷണൽ പാരാമീറ്ററാണ്.

നമുക്ക് രണ്ട് ആശയങ്ങൾ കൂടി അവതരിപ്പിക്കാം:

പ്രാമാണീകരണ സെർവർ യുആർഎൽ - ഒരു ആക്സസ് കീ ലഭിക്കുന്നതിനുള്ള അവസാന പോയിന്റ്. ആക്‌സസ് കീകളുടെ പ്രൊവിഷനും പുതുക്കലിനുമുള്ള എല്ലാ അഭ്യർത്ഥനകളും ഞങ്ങൾ ഈ URL-ലേക്ക് നയിക്കും.

റിസോഴ്സ് യുആർഎൽ — സംരക്ഷിത ഉറവിടത്തിന്റെ URL, അതിലേക്ക് ആക്സസ് നേടുന്നതിന് ബന്ധപ്പെടേണ്ടതാണ്, അത് അംഗീകാര തലക്കെട്ടിലെ ആക്സസ് കീ കൈമാറുന്നു.

കീ അഭ്യർത്ഥന ആക്സസ് ചെയ്യുക

ഒരു ആക്സസ് കീ അഭ്യർത്ഥിക്കാൻ, ക്ലയന്റ് ചെയ്യുന്നു POST അവസാന പോയിന്റിലേക്ക് അഭ്യർത്ഥിക്കുക IdentityServer4 ഇനിപ്പറയുന്ന തലക്കെട്ടിനൊപ്പം

'Content-Type': 'application/x-www-form-urlencoded',
'Accept': 'application/json',
'Expect': '100-continue'

കൂടാതെ ഇനിപ്പറയുന്ന പാരാമീറ്ററുകൾ കടന്നുപോകുന്നു:

'grant_type' : 'password',
'username' : login,
'password' : password,
'scope' : 'scope',
'client_id' : 'client_id',
'client_secret' : '{client_secret}'

username, password, client_id и client_secret മുകളിൽ ചർച്ച ചെയ്തു. ശേഷിക്കുന്ന പാരാമീറ്ററുകൾ നോക്കാം:

ഗ്രാന്റ്_തരം - ഗ്രാന്റ് തരം അല്ലെങ്കിൽ അംഗീകാര തരം. അംഗീകാര അനുമതിയുടെ തരം ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്ന അംഗീകാര അഭ്യർത്ഥന രീതിയെയും API പിന്തുണയ്ക്കുന്ന അനുമതി തരങ്ങളെയും ആശ്രയിച്ചിരിക്കുന്നു. ഞങ്ങളുടെ കാര്യത്തിൽ, അത് പ്രധാനമാണ് password, ഇത് സ്പെസിഫിക്കേഷൻ അനുസരിച്ചാണ് OAuth 2.0 റിസോഴ്‌സ് ഉടമയുടെ ആക്‌സസ്സ് വിശദാംശങ്ങളുടെ ഗ്രാന്റുമായി പൊരുത്തപ്പെടുന്നു (ലോഗിൻ, പാസ്‌വേഡ് എന്നിവ വഴിയുള്ള അംഗീകാരം).

പ്രോട്ടോകോൾ OAuth 2.0 ഇനിപ്പറയുന്ന തരത്തിലുള്ള ഗ്രാന്റുകൾ ആവശ്യമായി നിർവചിക്കുന്നു ഉപയോക്താക്കളുമായി നിർബന്ധിത ഇടപെടൽ:

• അംഗീകാര കോഡ്. ഇത് ഏറ്റവും സാധാരണമായ അംഗീകാര അനുമതികളിൽ ഒന്നാണ്, കാരണം ആപ്ലിക്കേഷൻ സോഴ്സ് കോഡും ക്ലയന്റ് രഹസ്യവും പുറത്തുനിന്നുള്ളവർക്ക് ആക്സസ് ചെയ്യാൻ കഴിയാത്ത സെർവർ സൈഡ് ആപ്ലിക്കേഷനുകൾക്ക് അനുയോജ്യമാണ്;
• പരോക്ഷമായി. ക്ലയന്റ് രഹസ്യത്തിന്റെ രഹസ്യസ്വഭാവം ഉറപ്പാക്കാൻ കഴിയാത്ത മൊബൈൽ, വെബ് ആപ്ലിക്കേഷനുകൾ പരോക്ഷമായ അംഗീകാര അനുമതി തരം ഉപയോഗിക്കുന്നു;

ഒപ്പം ഗ്രാന്റുകളുടെ തരങ്ങളും ഉപയോക്തൃ ഇടപെടൽ കൂടാതെ എക്സിക്യൂട്ട് ചെയ്യാൻ കഴിയും:

• വിഭവ ഉടമയുടെ വിശദാംശങ്ങൾ. ഉപയോക്താക്കൾക്ക് ക്ലയന്റ് ആപ്ലിക്കേഷൻ വിശ്വാസയോഗ്യമാണെങ്കിൽ മാത്രമേ ഇത്തരത്തിലുള്ള അനുമതി ഉപയോഗിക്കാവൂ. മറ്റ് ഓപ്ഷനുകളൊന്നും ലഭ്യമല്ലാത്തപ്പോൾ മാത്രമേ ഈ അനുമതി തരം ഉപയോഗിക്കാവൂ. തങ്ങളുടെ സിസ്റ്റത്തിനുള്ളിൽ ഇതിനകം തന്നെ ഉപയോക്തൃ ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ചിട്ടുള്ള കോർപ്പറേറ്റ് ക്ലയന്റുകൾക്ക് ഈ തരത്തിലുള്ള അനുമതി സൗകര്യപ്രദമാണ്. OAuth 2.0.
• ക്ലയന്റ് ക്രെഡൻഷ്യലുകൾ. ആപ്ലിക്കേഷൻ API ആക്സസ് ചെയ്യുമ്പോൾ ഉപയോഗിക്കുന്നു. ഉദാഹരണത്തിന്, ഒരു ആപ്ലിക്കേഷന് സ്വന്തം സേവന രജിസ്ട്രേഷൻ വിവരങ്ങൾ അപ്ഡേറ്റ് ചെയ്യാനോ URI റീഡയറക്റ്റ് ചെയ്യാനോ അല്ലെങ്കിൽ സേവന API വഴി ആപ്ലിക്കേഷന്റെ സേവന അക്കൗണ്ടിൽ സംഭരിച്ചിരിക്കുന്ന മറ്റ് വിവരങ്ങൾ ആക്സസ് ചെയ്യാനോ താൽപ്പര്യപ്പെടുമ്പോൾ ഇത് ഉപയോഗപ്രദമാകും.

സ്കോപ്പ് - ഇതൊരു ഓപ്ഷണൽ പാരാമീറ്ററാണ്. ഇത് വ്യാപ്തി നിർവചിക്കുന്നു. സെർവർ തിരികെ നൽകുന്ന ആക്‌സസ് ടോക്കൺ ആ പരിധിയിൽ വരുന്ന സേവനങ്ങളിലേക്ക് മാത്രമേ ആക്‌സസ് നൽകൂ. ആ. നമുക്ക് ഒരു പരിധിയിൽ നിരവധി സേവനങ്ങൾ സംയോജിപ്പിക്കാൻ കഴിയും, കൂടാതെ ക്ലയന്റിന് ഈ സ്കോപ്പിലേക്ക് ഒരു ആക്സസ് കീ ലഭിക്കുകയാണെങ്കിൽ, ഈ എല്ലാ സേവനങ്ങളിലേക്കും അയാൾക്ക് ആക്സസ് ലഭിക്കും. അംഗീകാര അവകാശങ്ങൾ പരിമിതപ്പെടുത്താനും സ്കോപ്പ് ഉപയോഗിക്കാം (ഉദാഹരണത്തിന്, വായിക്കാനോ എഴുതാനോ ഉള്ള ആക്സസ്)

അവലംബം: www.habr.com