ไทย

การยินยอม
sso
การรับรองตัวตน
idp

การแนะนำหน้าจอให้ความยินยอมของผู้ใช้

หน้าจอให้ความยินยอมของผู้ใช้คืออะไรและมันทำงานอย่างไร? บทความนี้จะอธิบายแนวคิดพื้นฐานเบื้องหลังหน้าจอให้ความยินยอมของผู้ใช้และวิธีการใช้งาน

Simeng

Developer

2/1/2024

หยุดเสียเวลาเป็นสัปดาห์กับการยืนยันตัวตนผู้ใช้

เปิดตัวแอปที่ปลอดภัยเร็วขึ้นด้วย Logto ผสานการยืนยันตัวตนผู้ใช้ภายในไม่กี่นาทีและมุ่งเน้นที่ผลิตภัณฑ์หลักของคุณ

เริ่มต้นใช้งาน

หน้าจอให้ความยินยอมของผู้ใช้คืออะไร

ลองจินตนาการว่าคุณกำลังสมัครใช้งานแอปโซเชียลใหม่โดยใช้บัญชี Google ของคุณ คุณคลิกที่ปุ่ม "ลงชื่อเข้าใช้ด้วย Google" และถูกเปลี่ยนหน้าไปที่ Google เพื่อดำเนินการลงชื่อเข้าใช้ หลังจากการรับรองตัวตนกับ Google สำเร็จ คุณจะถูกเปลี่ยนหน้าไปยังหน้าที่ขอให้คุณอนุญาตให้แอปนี้เข้าถึงข้อมูลโปรไฟล์บัญชี Google ของคุณ หน้าตาจะเป็นประมาณนี้นะ:

หน้านี้เราเรียกว่าหน้า การให้ความยินยอม หรือ หน้าจอการยินยอม มันคือองค์ประกอบของอินเทอร์เฟซผู้ใช้ที่แสดงโดยแอปพลิเคชันหรือเว็บไซต์ระหว่างขั้นตอนการเริ่มต้นใช้งาน วัตถุประสงค์หลักคือเพื่อแจ้งผู้ใช้เกี่ยวกับการเก็บรวบรวม การประมวลผล และการใช้ข้อมูลส่วนตัวของพวกเขา และเพื่อขอการตกลงหรือความยินยอมอย่างชัดเจนสำหรับกิจกรรมเหล่านี้

บนหน้าการยินยอม ผู้ใช้มักจะได้รับข้อมูลเกี่ยวกับประเภทของข้อมูลที่จะถูกเก็บรวบรวม วิธีการใช้งาน และว่าจะถูกแชร์กับบุคคลที่สามหรือไม่ ข้อมูลนี้มีความสำคัญต่อความโปร่งใส ทำให้ผู้ใช้สามารถตัดสินใจได้อย่างตรงไปตรงมาเกี่ยวกับค วามเป็นส่วนตัวและการรักษาความปลอดภัยข้อมูลของพวกเขา

หน้าการยินยอมมีความสำคัญอย่างยิ่งในบริบทของกฎระเบียบความเป็นส่วนตัวเช่นระเบียบการคุ้มครองข้อมูลส่วนบุคคลทั่วไป (GDPR) ในสหภาพยุโรปหรือพระราชบัญญัติความเป็นส่วนของผู้บริโภคแห่งแคลิฟอร์เนีย (CCPA) ในสหรัฐอเมริกา ซึ่งโรยองค์กรต้องได้รับความยินยอมที่ชัดเจนและยืนยันจากผู้ใช้ก่อนที่จะประมวลผลข้อมูลส่วนบุคคลของพวกเขา

เมื่อใดที่เราต้องการหน้าจอให้ความยินยอม?

ก่อนที่เราจะตอบคำถามนี้ได้ เราต้องเข้าใจแนวคิดพื้นฐานบางอย่างเกี่ยวกับการรับรองตัวตนของผู้ใช้

ผู้ให้บริการอัตลักษณ์ (IdP) และผู้ให้บริการ (SP)

ดังที่กล่าวไว้ข้างต้น วัตถุประสงค์หลักของหน้าจอให้ความยินยอมคือเพื่อแจ้งผู้ใช้เกี่ยวกับการเก็บรวบรวม การประมวลผล และการใช้ข้อมูลส่วนตัวของพวกเขาและเพื่อขอการตกลงหรือความยินยอมอย่างชัดเจนสำหรับกิจกรรมเหล่านี้ ดังนั้นเราจึงต้องการหน้าจอให้ความยินยอมเมื่อเรากำลังเก็บรวบรวม กระทำการประมวลผล หรือใช้ข้อมูลส่วนตัวที่เป็นของพรรคอื่น เช่น Google

ในบริบทของการรับรองตัวตนของผู้ใช้เราเรียกพรรคที่ควบคุมข้อมูลของผู้ใช้ว่า ผู้ให้บริการอัตลักษณ์ (IdP) สำหรับแอปพลิเคชันที่กำลังขอการเข้าถึงข้อมูลของผู้ใช้เราเรียกมันว่า ผู้ให้บริการ (SP) ตัวอย่างข้างต้น Google เป็น IdP และแอปโซเชียลคือ SP

IdP มีหน้าที่รับรองตัวตนของผู้ใช้และให้ข้อมูลโปรไฟล์ของผู้ใช้กับ SP SP คือตัวที่ต้องการข้อมูลโปรไฟล์ของผู้ใช้เพื่อให้บริการ

การลงชื่อเข้าใช้เดียว (SSO)

ในตัวอย่างข้างต้น แอปโซเชียลกำลังใช้ Google เป็น IdP ซึ่งเป็นสถานการณ์ทั่วไปในอุตสาหกรรม แอปพลิเคชันหลาย ๆ รายใช้ Google, Facebook, หรือบริการบุคคลที่สามอื่น ๆ เป็น IdP ของตนเอง สิ่งนี้เรียกว่า การลงชื่อเข้าใช้เดียว (SSO) SSO เป็นคุณสมบัติของการควบคุมการเข้าถึงของหลายระบบซอฟต์แวร์ที่สัมพันธ์กัน แต่เป็นอิสระต่อกัน โดยวิธีนี้ ผู้ใช้สามารถลงชื่อเข้าใช้ด้วยชื่อผู้ใช้และรหัสผ่านเดียวเพื่อเข้าถึงแอปพลิเคชันใด ๆ ที่สัมพันธ์กันหลายแอป คุณสามารถอ้างจาก CIAM 101: Authentication, Identity, SSO เพื่อรายละเอียดเพิ่มเติม

IdP แห่งแรกกับ IdP แห่งที่สาม

IdP แห่งแรก คือ IdP ที่เป็นขององค์กรเดียวกับ SP SP อาจมีชื่อโดเมนเดี่ยวกับ IdP ดังนั้น SP กำลังขอการเข้าถึงข้อมูลผู้ใช้ที่เป็นขององค์กรเดียวกัน ตัวอย่างเช่น หากคุณกำลังใช้ Google Workspace, Google ก็คือ IdP แห่งแรกของคุณ

IdP แห่งที่สาม ในทางตรงกันข้าม คือ IdP ที่เป็นขององค์กรที่แตกต่างจาก SP SP กำลังขอการเข้าถึงข้อมูลผู้ใช้ที่ไม่เป็นของตนเอง ตัวอย่างเช่น หากคุณกำลังใช้ Google เป็น IdP ของคุณ และลงชื่อเข้าใช้แอปโซเชียลเช่นตัวอย่างข้างต้น Google จะเป็น IdP แห่งที่สามสำหรับแอปโซเชียล

ความยินยอมของผู้ใช้

ไม่ว่าผู้ใช้จะลงชื่อเข้าใช้ในแอปพลิเคชันใดก็ตาม มันคือสิ่งสำคัญที่ผู้ใช้จะต้องรับทราบเกี่ยวกับข้อมูลที่ถูกเก็บรวบรวมและวิธีการใช้งาน

สำหรับ IdP แห่งแรก ข้อมูลเหล่านั้นส่วนใหญ่มักถูกรวมในนโยบายความเป็นส่วนตัวและข้อกำหนดการให้บริการขององค์กร ผู้ใช้มักจะต้องยอมรับนโยบายความเป็นส่วนตัวและข้อกำหนดการให้บริการก่อนที่จะสมัครใช้งานบริการ ดังนั้นผู้ใช้จะได้ทราบแล้วว่าอะไรคือข้อมูลที่จะถูกเก็บรวบรวมและวิธีการใช้งาน ในกรณีนี้ การให้ความยินยอมของผู้ใช้อยู่ในรูปแบบที่ไม่ชัดแจ้ง

อย่างไรก็ตาม มันมีความสำคัญที่ IdP ต้องควบคุมอย่างเข้มงวดเกี่ยวกับข้อมูลที่ตนเองครอบครอง IdP ไม่ควรอนุญาตให้ SP แห่งที่สามใด ๆ เข้าถึงข้อมูลผู้ใช้โดยไม่มีความยินยอมชัดเจนจากผู้ใช้ การเข้าถึงข้อมูลโดย SP แห่งที่สามใด ๆ ถือว่าเป็นกิจกรรมการแชร์ข้อมูล ผู้ต้องทราบเกี่ยวกับกิจกรรมการแชร์ข้อมูลและต้องยินยอมอย่างชัดเจน

ดังนั้นสำหรับ IdP แห่งที่สาม ความยินยอมของผู้ใช้จำเป็นเสมอ นั่นคือเหตุผลที่ IdP สำคัญทั้งหมด เช่น Google, Facebook, และ Microsoft ต้องการให้ SP แสดงหน้าจอให้ความยินยอมแก่ผู้ใช้ก่อนที่ผู้ใช้จะสามารถลงชื่อเข้าใช้ไปยัง SP

ตัวอย่างเช่นในกรณีของ Google เมื่อคุณพยายามสร้างไคลเอนต์ OAuth ของ Google คุณจะถูกขอให้จัดหาโครงร่างรายละเอียดการตั้งค่าหน้าจอให้ความยินยอม

การตั้งค่าหน้าจอให้ความยินยอมของ Google

นี่ทำให้มั่นใจได้ว่าผู้ใช้รับทราบเกี่ยวกับกิจกรรมการแชร์ข้อมูลและได้ให้ความยินยอมชัดเจนแล้ว

ข้อมูลอะไรบ้างที่ควรรวมอยู่ในหน้าจอให้ความยินยอม?

สิ่งสำคัญสำหรับหน้าจอให้ความยินยอมคือการให้ข้อมูลที่เพียงพอแก่ผู้ใช้ในการตัดสินใจอย่างมีข้อมูล รวมถึงแต่ไม่จำกัดเพียง:

พรรคใด (SP) ที่กำลังขอการเข้าถึงข้อมูลผู้ใช้?
อัตลักษณ์ของผู้ใช้ปัจจุบันคืออย่างไร?
ข้อมูลผู้ใดที่ถูกเก็บรวบรวม?
ข้อมูลผู้ใช้จะถูกใช้งานอย่างไร?
IdP ที่ให้บริการเพิ่มเติมอีกหรือ API จะถูกใช้อะไรบ้าง?
อนุญาตเพิ่มเติมใดบ้างที่ถูกมอบให้ SP?
นโยบายความเป็นส่วนตัวของ SP คืออะไร?

ข้อมูลเหล่านี้ควรรวมอยู่ในหน้าจอให้ความยินยอมอย่างถูกต้องและชัดเจน ผู้ใช้ควรสามารถเข้าใจข้อมูลโดยไม่มีความสับสนใด ๆ นี่มีความสำคัญอย่างยิ่งสำหรับข้อมูลผู้ใช้ที่ถูกเก็บรวบรวมและวิธีการใช้งาน

เป็นหน้าที่ของ IdP ที่จะรับประกันว่าข้อมูลผู้ใช้ จะถูกใช้เพื่อวัตถุประสงค์ที่ผู้ใช้ได้ให้ความยินยอมไว้เท่านั้น IdP ไม่ควรอนุญาตให้ SP ใช้ข้อมูลผู้ใช้เพื่อวัตถุประสงค์ใด ๆ โดยไม่มีความยินยอมชัดเจนจากผู้ใช้

บทสรุป

โดยสรุป หน้าการยินยอมทำหน้าที่เป็นกลไกในการได้รับการยินยอมอย่างชัดเจนจากผู้ใช้เกี่ยวกับการจัดการข้อมูลของพวกเขา ส่งเสริมความโปร่งใสและการปฏิบัติตามกฎหมายความเป็นส่วนตัว ปัจจุบันถูกกำหนดให้เป็นส่วนสำคัญใน IdP หลักทั้งหมดสำหรับ SP แห่งที่สาม และมีบทบาทสำคัญในการป้องกันความเป็นส่วนตัวและความปลอดภัยของข้อมูลของผู้ใช้ โดยเฉพาะอย่างยิ่งหากคุณกำลังให้บริการ IdP แห่งที่สาม

หน้าจอให้ความยินยอมของผู้ใช้คืออะไร#

เมื่อใดที่เราต้องการหน้าจอให้ความยินยอม?#

ผู้ให้บริการอัตลักษณ์ (IdP) และผู้ให้บริการ (SP)#

การลงชื่อเข้าใช้เดียว (SSO)#

IdP แห่งแรกกับ IdP แห่งที่สาม#

ความยินยอมของผู้ใช้#

ข้อมูลอะไรบ้างที่ควรรวมอยู่ในหน้าจอให้ความยินยอม?#

บทสรุป#

หน้าจอให้ความยินยอมของผู้ใช้คืออะไร#

เมื่อใดที่เราต้องการหน้าจอให้ความยินยอม?#

ผู้ให้บริการอัตลักษณ์ (IdP) และผู้ให้บริการ (SP)#

การลงชื่อเข้าใช้เดียว (SSO)#

IdP แห่งแรกกับ IdP แห่งที่สาม#

ความยินยอมของผู้ใช้#

ข้อมูลอะไรบ้างที่ควรรวมอยู่ในหน้าจอให้ความยินยอม?#

บทสรุป#

หน้าจอให้ความยินยอมของผู้ใช้คืออะไร

เมื่อใดที่เราต้องการหน้าจอให้ความยินยอม?

ผู้ให้บริการอัตลักษณ์ (IdP) และผู้ให้บริการ (SP)

การลงชื่อเข้าใช้เดียว (SSO)

IdP แห่งแรกกับ IdP แห่งที่สาม

ความยินยอมของผู้ใช้

ข้อมูลอะไรบ้างที่ควรรวมอยู่ในหน้าจอให้ความยินยอม?

บทสรุป

หน้าจอให้ความยินยอมของผู้ใช้คืออะไร

เมื่อใดที่เราต้องการหน้าจอให้ความยินยอม?

ผู้ให้บริการอัตลักษณ์ (IdP) และผู้ให้บริการ (SP)

การลงชื่อเข้าใช้เดียว (SSO)

IdP แห่งแรกกับ IdP แห่งที่สาม

ความยินยอมของผู้ใช้

ข้อมูลอะไรบ้างที่ควรรวมอยู่ในหน้าจอให้ความยินยอม?

บทสรุป