Godkendelse og autorisation

Når en bruger er blevet godkendt, afgør autorisation, hvilke handlinger brugeren har tilladelse til at udføre, og hvilke ressourcer brugeren har adgang til. Det besvarer spørgsmålet: "Hvad må du gøre her?"

• Eksempler: En standardbruger kan se sine egne data, en administrator kan administrere alle brugere, og en faktureringsansvarlig kan kun få adgang til økonomiske rapporter.
• Det svarer til det adgangskort, du bruger *inde* i bygningen, og som giver adgang til bestemte etager eller rum.

Autorisation er afgørende for detaljeret kontrol og segmentering af data i SaaS-løsninger med flere lejere.

I traditionelle webapplikationer er sessionsbaseret godkendelse almindelig. Efter et vellykket login opretter serveren en 'session' og sender et unikt session-id (ofte i en cookie) til klienten.

• Serveren gemmer sessionsdata (brugeroplysninger, tilladelser).
• Klienten sender session-id'et med hver anmodning.
• Denne tilgang er 'tilstandsfuld', fordi serveren skal huske hver brugers session.

Selvom det er enkelt, kan håndtering af tilstandsfulde sessioner være udfordrende i meget skalerbare, distribuerede SaaS-arkitekturer.

OAuth 2.0 er et autoriseringsframework, der gør det muligt for tredjepartsapplikationer at få begrænset adgang til en HTTP-tjeneste på vegne af en ressourceejer (bruger).

• Det er ikke selv en godkendelsesprotokol, men bruges ofte sammen med OpenID Connect til godkendelse.
• Tænk på knapper som 'Log ind med Google' eller 'Opret forbindelse til Facebook'.
• Brugere giver en applikation tilladelse uden at dele deres faktiske legitimationsoplysninger.

OAuth er afgørende for sikker integration af din SaaS-løsning med andre tjenester.

Forståelse af OAuth 2.0 involverer nogle få vigtige roller:

• Ressourceejer: Brugeren, der ejer dataene (f.eks. dig).
• Klient: Applikationen, der anmoder om adgang til brugerens data (f.eks. din SaaS-applikation).
• Autoriseringsserver: Serveren, der godkender ressourceejeren og udsteder adgangstokens (f.eks. Googles identitetsserver).
• Ressourceserver: Serveren, der er vært for de beskyttede ressourcer (f.eks. Google Drive API).

Klienten bruger et adgangstoken fra autoriseringsserveren til at få adgang til ressourcer på ressourceserveren.

JSON Web Tokens (JWT'er) er en kompakt og URL-sikker måde at repræsentere påstande, der skal overføres mellem to parter. De bruges ofte til tilstandsløs godkendelse i moderne API'er.

• Efter login udsteder en server en JWT til klienten.
• Klienten gemmer dette token (f.eks. i lokal lagring) og sender det med hver API-anmodning.
• Serveren verificerer tokenet uden at behøve at gemme sessionsdata.

Denne 'tilstandsløse' egenskab gør JWT'er fremragende til skalering af mikrotjenester og API'er.

En JWT består af tre dele, der er adskilt af punktummer (.):

• Header: Indeholder metadata som tokenets type (JWT) og signeringsalgoritmen (f.eks. HS256).
• Payload: Indeholder 'påstande' – udsagn om en entitet (brugeren) og yderligere data (f.eks. bruger-id, roller og udløbstidspunkt). Denne del er kodet, ikke krypteret, så du må ikke placere følsomme data her!
• Signatur: Bruges til at verificere, at afsenderen af JWT'en er den, den udgiver sig for at være, og til at sikre, at meddelelsen ikke er blevet ændret. Den oprettes ved hjælp af headeren, payloaden og en hemmelig nøgle.

Når en klient har en JWT, sender den den typisk i Authorization-headeren i HTTP-anmodninger, normalt med præfikset Bearer:

Authorization: Bearer <your_jwt_token>

API-gatewayen eller den mikrotjeneste, der modtager anmodningen, kan derefter:

• Verificere JWT'ens signatur ved hjælp af den hemmelige nøgle.
• Afkode payloaden for at udtrække brugerens påstande (f.eks. bruger-id og roller).
• Bruge disse påstande til at udføre autorisationskontroller.

Denne proces er hurtig og effektiv, fordi der ikke er behov for et databaseopslag for at verificere tokenet.

I denne lektion undersøgte vi de kritiske begreber godkendelse (hvem du er) og autorisation (hvad du må gøre).

Vi lærte, hvordan sessionsbaseret godkendelse fungerer, og hvilke begrænsninger den har for skalerbar SaaS. Derefter gik vi i dybden med moderne tilgange som OAuth 2.0 til delegeret autorisation og JSON Web Tokens (JWT'er) til effektiv, tilstandsløs API-sikkerhed.

Det er afgørende at beherske disse begreber for at kunne bygge sikre, skalerbare og pålidelige SaaS-applikationer.