Ein gehosteter OAuth-Server für Ihre APIs und die Apps, die sie aufrufen
Ein OAuth-Server, auch Autorisierungsserver genannt, stellt die Access Tokens aus, die Ihre APIs akzeptieren, und die Refresh Tokens, die einen Benutzer angemeldet halten. Die Skycloak Platform betreibt für jeden Ihrer Mandanten einen nach OAuth 2.1: Ihr Team legt fest, was jedes Token darf, und die Plattform übernimmt Ausstellen, Rotieren und Widerrufen.
Wofür ein OAuth-Server zuständig ist
OAuth trennt den Dienst, der Zugriff gewährt, von den Diensten, auf die zugegriffen wird. Der OAuth-Server meldet den Benutzer an, holt bei Bedarf eine Zustimmung ein und stellt ein Access Token aus, das die erlaubten Scopes des Clients nennt. Ihre APIs prüfen nur dieses Token: Signatur, Audience, Ablauf und Scopes.
Diese Trennung erlaubt es einer Web-App, einer Mobile-App und einer Partnerintegration, dieselbe API sicher aufzurufen, jede mit eigenem Client und eigenen Grenzen, ohne dass die API etwas über Passwörter oder Sitzungen wissen muss.
Tokens, die auf Dauer sicher bleiben
Die Plattform folgt OAuth 2.1, also nutzt jeder Client den Authorization Code Flow mit PKCE, und die älteren Implicit- und Password-Grants werden nicht angeboten. Refresh Tokens gibt es nach Entwurf in zwei Arten: ein Session Refresh Token, das mit der Browser-Sitzung endet, und ein Offline Refresh Token für Mobile- und langlebige Apps, das bei jeder Nutzung rotiert und widerrufen wird, sobald ein altes erneut auftaucht.
Pushed Authorization Requests, DPoP, das ein Token an den Client bindet, der es hält, und Client-Authentifizierung per Private Key JWT stehen für die erste Version im Plan. Die Plattform rotiert die Signaturschlüssel und veröffentlicht sie vor der Nutzung, sodass Ihre APIs Tokens auch während eines Schlüsselwechsels prüfen.
Warum nicht selbst betreiben
Open-Source-OAuth-Server sind gute Software, aber einen zu betreiben ist ein eigener Beruf: eine hochverfügbare Datenbank, Schlüsselablage, Updates bei jeder veröffentlichten Schwachstelle und jemand in Bereitschaft, wenn die Token-Ausstellung langsamer wird und alle Clients gleichzeitig scheitern.
Auf der Plattform ist diese Arbeit Sache von Skycloak. Ihr Mandant läuft in den USA oder in der Europäischen Union, und Ihr Team arbeitet mit dem Standardprotokoll, sodass Sie später auch zu einem anderen OAuth-Server wechseln können, ohne Ihre APIs neu zu schreiben.
Häufige Fragen
Ist ein OAuth-Server dasselbe wie ein OpenID-Connect-Provider?
Fast. OpenID Connect fügt Anmeldung und ein ID Token zu OAuth hinzu. Die Plattform kann beides, derselbe Mandant meldet Benutzer an und autorisiert Aufrufe Ihrer APIs.
Wie prüfen meine APIs die Tokens?
Sie laden die veröffentlichten Signaturschlüssel des Mandanten einmal, halten sie im Cache und prüfen Signatur, Audience, Ablauf und Scopes jedes Access Tokens lokal.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.