Explora la definición de AuthZ, AuthN vs AuthZ, cómo funciona AuthZ y las mejores prácticas de autorización.
AuthZ es la abreviatura de autorización. La autorización es un mecanismo separado de la autenticación. Mientras que la autenticación identifica quién eres, la autorización determina si puedes acceder a recursos específicos y qué acciones puedes realizar sobre ellos.
En ejemplos del mundo real, los recursos pueden incluir software, sistemas, documentos, pedidos y activos. La autorización agrega una capa extra de control, especificando quién puede acceder a estos recursos y bajo qué condiciones.
La autorización es separada de la autenticación, pero a menudo se conecta con ella. Por ejemplo, protocolos estándar como OAuth 2.0, OIDC y SAML incorporan mecanismos de autorización basados en tokens.
En un sistema de autorización basado en tokens, un servidor de autorización otorga un token de acceso a los usuarios. Este token, que incluye permisos, determina si el usuario puede acceder a ciertos recursos.
Asignar permisos directamente a los usuarios puede ser ineficiente, especialmente cuando se requieren condiciones más detalladas. Por ejemplo, el acceso podría depender de circunstancias específicas, como la ubicación del usuario, lo que hace que las políticas de control de acceso sean necesarias para una mejor gestión de permisos.
Aquí tienes un flujo de alto nivel paso a paso de cómo funciona la autorización:
Para entender el flujo de solicitudes de autorización de OAuth 2.0 en detalle, consulta la solicitud de autorización
Control de Acceso Basado en Roles (RBAC) utiliza roles para gestionar el acceso. A cada usuario se le asigna uno o más roles predefinidos, y cada rol incluye un conjunto de permisos. La clave de RBAC es entender la relación entre sujetos (o usuarios), roles y permisos.
Para entender cómo funciona el Control de Acceso Basado en Roles (RBAC), necesitas conocer sobre:
usuario o aplicación máquina a máquina.admin miembroleer: pedido.
Control de Acceso Basado en Atributos (ABAC) se utiliza ampliamente en la autorización y apoya escenarios más complejos usando atributos específicos de una entidad, más allá de solo roles.
Por ejemplo, una empresa gestiona una plataforma global de intercambio de documentos donde los empleados necesitan acceso controlado a archivos sensibles según su rol laboral, ubicación y nivel de clasificación del documento.
Los atributos pueden diseñarse de las siguientes maneras:
También existen otros modelos de control de acceso, como control de acceso basado en políticas (PBAC) . Cada modelo tiene sus fortalezas y debilidades, y la elección del modelo depende de tu caso de uso y requisitos.
El software B2C a menudo requiere roles específicos según las necesidades del negocio. Por ejemplo, una aplicación de gestión de librería podría incluir roles con diferentes responsabilidades, como gestionar recursos y servicios.
Las aplicaciones B2B a menudo utilizan una arquitectura multi-inquilino, donde cada inquilino representa una organización. Dentro de la organización, se necesitan roles como admin y miembro. Aquí es donde la Autorización (AuthZ) juega un papel clave en la gestión de usuarios a nivel organizacional, a menudo usando Control de Acceso Basado en Roles (RBAC).
La comunicación máquina a máquina ocurre directamente entre servicios sin interacción humana. Por ejemplo, al llamar a servicios de API. A menudo involucra tokens (por ejemplo, tokens de acceso OAuth 2.0) para garantizar un acceso seguro, dinámico y granular.
Aquí tienes algunas mejores prácticas para la autorización (AuthZ) para garantizar un control de acceso seguro y efectivo:
Principio del menor privilegio
Esto asegura que el riesgo de acceso no autorizado o daños por cuentas comprometidas se minimice. Los usuarios y sistemas solo deben acceder a los recursos y acciones necesarios para su rol.
Emplear autorización basada en tokens
El control de acceso basado en tokens ofrece más flexibilidad y control detallado mientras se adhieren a estándares abiertos. Utiliza tokens seguros (por ejemplo, OAuth 2.0, JWTs) para otorgar acceso sensible al tiempo y al alcance.
Auditar y monitorear regularmente
Revisar regularmente los registros de acceso y políticas de autorización es necesario para detectar anomalías o permisos desactualizados.
Aplicar separación de funciones
Comienza implementando permisos granulares, como definir acciones específicas y recursos (por ejemplo, leer, escribir, eliminar). Al crear roles, utiliza nombres de roles claros y aplica la separación de funciones para minimizar el riesgo de fraude o errores por un solo usuario.
Soportar multi-inquilinato (si aplica)
Para sistemas multi-inquilinos, la aislamiento de inquilinos es importante. Al combinarlo con el control de acceso basado en roles, puedes lograr la separación de recursos de datos, asegurando que los roles apropiados puedan acceder a recursos solo dentro de su inquilino. Esto previene el acceso accidental o malicioso a los recursos de otros inquilinos.
Revocar acceso dinámicamente
Al diseñar tu sistema AuthZ, asegúrate de que los permisos puedan actualizarse o revocarse inmediatamente si cambian las condiciones (por ejemplo, actualizaciones de roles, o finalización del empleo). Esto puede lograrse a través de comprobaciones dinámicas de API, webhooks, u otros métodos. El objetivo es prevenir el acceso no autorizado en tiempo real.
La diferencia entre autenticación y autorización radica en su propósito y proceso dentro de la gestión de identidades y accesos.
AuthN (Autenticación) responde a la pregunta: “¿Quién eres y qué identidad posees?” Es el proceso de verificar la identidad de un usuario, servicio o dispositivo. La autenticación asegura que la entidad que intenta acceder a un sistema o recurso sea genuina. Los métodos comunes incluyen contraseñas, biometría y autenticación de dos factores (2FA). Por ejemplo, cuando inicias sesión en una cuenta usando tu correo electrónico y contraseña, el sistema confirma tu identidad a través de la autenticación.
AuthZ (Autorización) responde a la pregunta: “¿Qué estás permitido a hacer?” Es el proceso de otorgar o denegar acceso a recursos según los permisos o roles del usuario. La autorización ocurre después de la autenticación y determina qué acciones puede realizar el usuario autenticado. Por ejemplo, después de iniciar sesión, un usuario admin puede tener acceso para modificar configuraciones, mientras que un usuario regular solo puede verlas.
En resumen, AuthN (autenticación) confirma la identidad, mientras que AuthZ (autorización) define el acceso. La autenticación ocurre primero, seguida de la autorización para garantizar el uso seguro y apropiado de los recursos.
Logto Cloud ofrece servicios clave de autorización basados en protocolos de estándares abiertos como OIDC, OAuth 2.0 y SAML. Las características incluyen Control de Acceso Basado en Roles, Organizaciones (Multi-Inquilinato) y Reclamaciones Personalizadas de Token para satisfacer tus necesidades de autorización desde diversas perspectivas.