IdentityServer4. मूलभूत संकल्पना. OpenID Connect, OAuth 2.0 आणि JWT

या पोस्टसह मला IdentityServer4 ला समर्पित लेखांचा धागा उघडायचा आहे. चला मूलभूत संकल्पनांसह प्रारंभ करूया.

या क्षणी सर्वात आशाजनक प्रमाणीकरण प्रोटोकॉल आहे ओपनआयडी कनेक्ट, आणि अधिकृतता प्रोटोकॉल (प्रवेश प्रदान करणे) आहे OAuth 2.0. IdentityServer4 या दोन प्रोटोकॉलची अंमलबजावणी करते. हे निराकरण करण्यासाठी अनुकूल आहे ठराविक समस्या सुरक्षा

ओपनआयडी कनेक्ट एक प्रमाणीकरण प्रोटोकॉल आणि मानक आहे, ते संसाधनांमध्ये प्रवेश प्रदान करत नाही (वेब ​​API), परंतु पासून हे अधिकृतता प्रोटोकॉलच्या शीर्षस्थानी डिझाइन केलेले आहे OAuth 2.0, ते तुम्हाला वापरकर्ता प्रोफाइल पॅरामीटर्स प्राप्त करण्यास अनुमती देते जसे की तुम्हाला संसाधनात प्रवेश आहे वापरकर्ता माहिती.

जेडब्ल्यूटी (JSON वेब टोकन) हे एक वेब मानक आहे जे JSON स्वरूपात वापरकर्ता डेटा कूटबद्ध स्वरूपात प्रसारित करण्याचा मार्ग परिभाषित करते.

OAuth 2.0 (RFC 6749) अधिकृतता प्रोटोकॉल आणि मानक आहे. हे वेब एपीआय सारख्या संरक्षित संसाधनांमध्ये प्रवेश करण्यासाठी अनुप्रयोगांना अनुमती देते.

संरक्षित संसाधनात प्रवेश करण्याच्या आकृतीवर एक नजर टाकूया आणि मुख्य पायऱ्या आणि स्वीकृत शब्दावली समजून घेऊया:

1. क्लायंट वापरकर्त्याकडून त्याच्या वतीने प्रमाणीकरण करण्यासाठी परवानगीची विनंती करतो. ग्राहक हा एक क्लायंट अनुप्रयोग आहे जो संसाधन मालकाच्या वतीने संरक्षित संसाधनांमध्ये प्रवेश करतो. संसाधन - या सर्व आमच्या संरक्षित सेवा आहेत वेब एपीआय.

2. वापरकर्ता क्लायंट ऍप्लिकेशनला त्याच्या वतीने प्रमाणीकरण करण्याची परवानगी देतो, उदाहरणार्थ, लॉगिन आणि पासवर्ड टाकून. लॉगिन आणि पासवर्ड क्लायंट ऍप्लिकेशनसाठी अधिकृतता अनुदान असेल. वापरकर्ता (संसाधन मालक) — एक प्रोग्राम किंवा व्यक्ती जी संरक्षित संसाधनांमध्ये प्रवेश देऊ शकते, उदाहरणार्थ, लॉगिन (वापरकर्तानाव) आणि पासवर्ड (पासवर्ड) प्रविष्ट करून;

3. क्लायंट ऍप्लिकेशन कडून ऍक्सेस टोकनची विनंती करतो IdentityServer4 स्वतःबद्दल माहिती देऊन (client_id, client_secret), वापरकर्त्याकडून अधिकृतता परवानगी देणे (username, password) आणि प्रदान grant_type и scope. मग अधिकृतता सर्व्हर क्लायंटची सत्यता आणि संसाधन मालकाचे तपशील (लॉगिन आणि पासवर्ड) सत्यापित करतो.

   OAuth 2.0 प्रोटोकॉल केवळ वापरकर्त्यालाच नाही, तर क्लायंट ऍप्लिकेशनमध्ये प्रवेश करणार्‍या संसाधनांना देखील प्रमाणीकृत करतो. या उद्देशासाठी, प्रोटोकॉल असे मापदंड प्रदान करते ग्राहक_आयडी и क्लायंट_सेरेट.
   client_id क्लायंट ऍप्लिकेशन आयडेंटिफायर वापरला जातो IdentityServer4 क्लायंटबद्दल माहिती शोधण्यासाठी.
   क्लायंट_सेरेट क्लायंट ऍप्लिकेशनच्या पासवर्डशी साधर्म्य आहे आणि क्लायंट ऍप्लिकेशन ऑथेंटिकेट करण्यासाठी वापरला जातो IdentityServer4. क्लायंटचे रहस्य फक्त ऍप्लिकेशन आणि API ला माहित असले पाहिजे. वरील आधारे, आम्ही असा निष्कर्ष काढतो IdentityServer4 ला त्याच्या क्लायंटबद्दल माहिती असणे आवश्यक आहे.

4. अर्ज प्रमाणीकृत असल्यास आणि अधिकृतता परवानगी वैध असल्यास, IdentiryServer4 निर्माण करते access-токен अनुप्रयोगासाठी (प्रवेश टोकन) आणि पर्यायी रिफ्रेश की (refresh-токен). अधिकृतता प्रक्रिया पूर्ण झाली आहे. विनंती अवैध किंवा अनधिकृत असल्यास, अधिकृतता सर्व्हर योग्य त्रुटी संदेशासह कोड परत करतो.

5. क्लायंट ऍप्लिकेशन डेटासाठी सुरक्षित वेब API ऍक्सेस करते, अधिकृततेसाठी ऍक्सेस टोकन प्रदान करते. जर संसाधन सर्व्हर प्रतिसाद कोड 401, 403 किंवा 498, नंतर प्रमाणीकरणासाठी वापरलेले प्रवेश टोकन अवैध किंवा कालबाह्य झाले आहे.

6. टोकन वैध असल्यास, Web API अनुप्रयोगास डेटा प्रदान करते.

टोकनचे प्रकार

मध्ये नोंदणी केली IdentityServer4 ग्राहकांना विनंती करण्याची परवानगी आहे IdentityServer4 identity- टोकन, access- टोकन आणि refresh- टोकन.

• ओळख टोकन (ओळख टोकन) — प्रमाणीकरण प्रक्रियेचा परिणाम. वापरकर्ता आयडी आणि वापरकर्ता कसा आणि केव्हा प्रमाणीकृत केला जातो याबद्दल माहिती असते. तुम्ही तुमच्या स्वतःच्या डेटासह ते वाढवू शकता.
• प्रवेश टोकन — एका संरक्षित API मध्ये प्रसारित केले जाते आणि ते त्याच्या डेटाला अधिकृत (प्रवेश परवानगी) देण्यासाठी वापरले जाते.
• रिफ्रेश-टोकन (रिफ्रेश टोकन) एक पर्यायी पॅरामीटर आहे जो अधिकृतता सर्व्हर प्रवेश टोकन विनंतीला प्रतिसाद म्हणून परत करू शकतो.

चला आणखी दोन संकल्पना सादर करूया:

प्रमाणीकरण सर्व्हर Url - प्रवेश की मिळवण्यासाठी एंडपॉइंट. आम्ही या URL वर प्रवेश की च्या तरतूद आणि नूतनीकरणासाठी सर्व विनंत्या निर्देशित करू.

संसाधन Url — संरक्षित संसाधनाची URL ज्यामध्ये प्रवेश मिळविण्यासाठी संपर्क साधला जाणे आवश्यक आहे, त्यास अधिकृतता शीर्षलेखातील प्रवेश की पास करून.

प्रवेश की विनंती

प्रवेश की विनंती करण्यासाठी, क्लायंट करतो POST शेवटची विनंती IdentityServer4 खालील शीर्षकासह

'Content-Type': 'application/x-www-form-urlencoded',
'Accept': 'application/json',
'Expect': '100-continue'

आणि खालील पॅरामीटर्स पास करणे:

'grant_type' : 'password',
'username' : login,
'password' : password,
'scope' : 'scope',
'client_id' : 'client_id',
'client_secret' : '{client_secret}'

username, password, client_id и client_secret वर चर्चा केली होती. चला उर्वरित पॅरामीटर्स पाहू:

अनुदान_प्रकार - अनुदान प्रकार किंवा अधिकृतता प्रकार. अधिकृतता परवानगीचा प्रकार अनुप्रयोगाद्वारे वापरल्या जाणार्‍या अधिकृतता विनंती पद्धतीवर तसेच API द्वारे कोणत्या प्रकारची परवानगी समर्थित आहे यावर अवलंबून असते. आमच्या बाबतीत ते काही फरक पडेल password, जे विनिर्देशानुसार आहे OAuth 2.0 संसाधन मालकाच्या प्रवेश तपशीलांच्या मंजूरीशी संबंधित आहे (लॉगिन आणि पासवर्डद्वारे अधिकृतता).

प्रोटोकॉल OAuth 2.0 आवश्यक असलेल्या अनुदानांचे खालील प्रकार परिभाषित करते वापरकर्त्यांशी अनिवार्य संवाद:

• अधिकृतता कोड. हे अधिकृत परवानगीच्या सर्वात सामान्य प्रकारांपैकी एक आहे, कारण. सर्व्हर-साइड ऍप्लिकेशन्ससाठी योग्य आहे, जिथे ऍप्लिकेशन सोर्स कोड आणि क्लायंट सीक्रेट बाहेरील लोकांसाठी प्रवेशयोग्य नाहीत;
• पूर्ण. अव्यक्त अधिकृतता परवानगी प्रकार मोबाइल आणि वेब अनुप्रयोगांद्वारे वापरला जातो जेथे क्लायंटच्या गोपनीयतेची हमी दिली जाऊ शकत नाही;

आणि अनुदानाचे प्रकार वापरकर्त्याच्या परस्परसंवादाशिवाय कार्यान्वित केले जाऊ शकते:

• संसाधन मालक तपशील. जर क्लायंट ऍप्लिकेशनवर वापरकर्त्याचा विश्वास असेल आणि वापरकर्ता त्याचे लॉगिन आणि पासवर्ड टाकण्यास सोयीस्कर असेल तरच या प्रकारची परवानगी वापरली जावी. इतर कोणतेही पर्याय उपलब्ध नसतानाच हा परवानगी प्रकार वापरला जावा. या प्रकारची परवानगी कॉर्पोरेट क्लायंटसाठी सोयीस्कर आहे ज्यांनी आधीच त्यांच्या सिस्टममध्ये वापरकर्ता क्रेडेन्शियल्स वापरल्या आहेत आणि त्यावर स्विच करू इच्छितात OAuth 2.0.
• क्लायंट क्रेडेन्शियल. जेव्हा अनुप्रयोग API मध्ये प्रवेश करतो तेव्हा वापरले जाते. हे उपयुक्त ठरू शकते, उदाहरणार्थ, जेव्हा एखादा अनुप्रयोग स्वतःची सेवा नोंदणी माहिती अद्यतनित करू इच्छितो किंवा URI पुनर्निर्देशित करू इच्छितो किंवा सेवा API द्वारे अनुप्रयोगाच्या सेवा खात्यामध्ये संचयित केलेल्या इतर माहितीमध्ये प्रवेश करू इच्छितो.

व्याप्ती - हे एक पर्यायी पॅरामीटर आहे. ते व्याप्ती परिभाषित करते. सर्व्हरद्वारे परत केलेले प्रवेश टोकन केवळ त्या कार्यक्षेत्रात येणाऱ्या सेवांमध्ये प्रवेश प्रदान करेल. त्या. आम्ही एका कार्यक्षेत्रात अनेक सेवा एकत्र करू शकतो आणि जर क्लायंटला या स्कोपसाठी ऍक्सेस की प्राप्त झाली, तर त्याला या सर्व सेवांमध्ये प्रवेश मिळेल. व्याप्ती अधिकृतता अधिकार मर्यादित करण्यासाठी देखील वापरली जाऊ शकते (उदाहरणार्थ, वाचन किंवा लेखन प्रवेश)

स्त्रोत: www.habr.com