Utforska definitionen av AuthZ, AuthN vs AuthZ, hur AuthZ fungerar och bästa praxis för autorisering.
AuthZ är en förkortning för autorisering. Autorisering är en separat mekanism från autentisering. Medan autentisering identifierar vem du är, bestämmer autorisering om du kan komma åt specifika resurser och vilka åtgärder du kan utföra på dem.
I verkliga exempel kan resurser inkludera programvara, system, dokument, beställningar och tillgångar. Autorisering ger ett extra lager av kontroll, som specificerar vem som kan komma åt dessa resurser och under vilka förhållanden.
Autorisering är separat från autentisering men kopplas ofta samman med det. Till exempel inkorporerar standardprotokoll som OAuth 2.0, OIDC och SAML tokenbaserade autoriseringsmekanismer.
I ett tokenbaserat autoriseringssystem beviljar en autoriseringsserver en åtkomsttoken till användarna. Denna token, som inkluderar behörigheter, bestämmer om användaren kan komma åt vissa resurser.
Att tilldela behörigheter direkt till användare kan vara ineffektivt, särskilt när mer detaljerade villkor krävs. Till exempel kan åtkomst bero på specifika omständigheter, som användarens plats, vilket gör åtkomstkontrollpolicys nödvändiga för bättre behörighetshantering.
Här är en steg-för-steg högflödesbeskrivning av hur autorisering fungerar:
För att förstå OAuth 2.0 autorisationsförfrågningsflöde i detalj, kolla in Autentiseringsförfrågan
Rollbaserad åtkomstkontroll (RBAC) använder roller för att hantera åtkomst. Varje användare tilldelas en eller flera fördefinierade roller, och varje roll inkluderar en uppsättning behörigheter. Nyckeln till RBAC är att förstå relationen mellan subjekt (eller användare), roller och behörigheter.
För att förstå hur Rollbaserad Åtkomstkontroll (RBAC) fungerar, behöver du känna till:
användare eller maskin till maskin-applikation.admin medlemläsa: beställning.
Attributbaserad åtkomstkontroll (ABAC) är mycket använd i autorisering och stödjer mer komplicerade scenarier genom att använda specifika attribut för en enhet, utöver bara roller.
Till exempel, ett företag hanterar en global plattform för dokumentdelning där anställda behöver kontrollerad tillgång till känsliga filer baserat på deras jobbfunktion, plats och dokumentets klassificeringsnivå.
Attributen kan utformas på följande sätt:
Det finns också andra åtkomstkontrollmodeller som policybaserad åtkomstkontroll (PBAC) . Varje modell har sina styrkor och svagheter och valet av modell beror på ditt användningsfall och krav.
B2C-programvara kräver ofta specifika roller baserat på affärsbehoven. Till exempel, en bokhandelsapp kan inkludera roller med olika ansvarsområden, såsom att hantera resurser och tjänster.
B2B-appar använder ofta en multi-tenant-arkitektur, där varje tenant representerar en organisation. Inom organisationen behövs roller som admin och medlem. Detta är där Autorisering (AuthZ) spelar en nyckelroll i att hantera användare på organisationsnivå, ofta med hjälp av Rollbaserad Åtkomstkontroll (RBAC).
Maskin-till-maskin kommunikation sker direkt mellan tjänster utan mänsklig interaktion. Till exempel, anropa API-tjänster. Det involverar ofta tokens (t.ex., OAuth 2.0 åtkomsttokens) för att säkerställa säker, dynamisk och detaljerad åtkomst.
Här är några bästa praxis för autorisering (authZ) för att säkerställa säker och effektiv åtkomstkontroll:
Principen om minst privilegium
Detta minimerar risken för obehörig åtkomst eller skada från komprometterade konton. Användare och system bör endast få åtkomst till de resurser och åtgärder som behövs för deras roll.
Använd tokenbaserad autorisering
Tokenbaserad åtkomstkontroll erbjuder mer flexibilitet och finkornig kontroll samtidigt som den följer öppna standarder. Använd säkra tokens (t.ex., OAuth 2.0, JWTs) för att bevilja tidskänslig och avgränsad åtkomst.
Regelbunden granskning och övervakning
Regelbunden översyn av åtkomstloggar och autoriseringspolicys är nödvändig för att upptäcka anomalier eller föråldrade behörigheter.
Tillämpa separering av skyldigheter
Börja med att implementera detaljerade behörigheter, såsom att definiera specifika åtgärder och resurser (t.ex., läsa, skriva, ta bort). När du skapar roller, använd klara rollnamn och upprätthåll separering av skyldigheter för att minimera risken för bedrägerier eller misstag av en enskild användare.
Stöd multi-tenancy (om tillämpligt)
För fleranvändarsystem är tenantisolering viktig. Genom att kombinera det med rollbaserad åtkomstkontroll, kan du uppnå separation av dataresurser, vilket säkerställer att de lämpliga rollerna endast kan komma åt resurser inom deras tenant. Detta förhindrar oavsiktlig eller illvillig åtkomst till andra tenants resurser.
Återkalla åtkomst dynamiskt
När du utformar ditt AuthZ-system, säkerställ att behörigheter kan uppdateras eller återkallas omedelbart om förhållandena förändras (t.ex., rolluppdateringar, eller avslutande av anställning). Detta kan uppnås genom dynamiska API-kontroller, webhooks eller andra metoder. Målet är att förhindra obehörig åtkomst i realtid.
Skillnaden mellan autentisering och autorisering ligger i deras syfte och process inom identitets- och åtkomsthantering.
AuthN (Autentisering) besvarar frågan, “Vem är du och vilken identitet innehar du?” Det är processen att verifiera identiteten hos en användare, tjänst eller enhet. Autentisering säkerställer att enheten som försöker komma åt ett system eller en resurs är äkta. Vanliga metoder inkluderar lösenord, biometrik och tvåfaktorsautentisering (2FA). Till exempel när du loggar in på ett konto med din e-post och lösenord, bekräftar systemet din identitet genom autentisering.
AuthZ (Autorisering) besvarar frågan, “Vad får du göra?” Det är processen att bevilja eller neka åtkomst till resurser baserat på användarens behörigheter eller roller. Autorisering sker efter autentisering och bestämmer vilka åtgärder den autentiserade användaren kan utföra. Till exempel, efter inloggning, kan en adminanvändare ha åtkomst till att ändra inställningar, medan en vanlig användare endast kan visa dem.
Sammanfattningsvis bekräftar AuthN (autentisering) identitet, medan AuthZ (autorisering) definierar åtkomst. Autentisering sker först, följt av autorisering för att säkerställa säker och lämplig användning av resurser.
Logto Cloud erbjuder nyckelautoriserings-tjänster baserade på öppna standardprotokoll som OIDC, OAuth 2.0 och SAML. Funktioner inkluderar Rollbaserad Åtkomstkontroll, Organisationer (Multi-Tenancy) och Anpassade Token Anklagelser för att möta dina autoriseringsbehov från olika perspektiv.