Comment implémenter des stratégies d’autorisation affinées sur le serveur de ressources ?

1 Autorisation basée sur l’étendue

Une façon d’implémenter des stratégies d’autorisation affinées sur le serveur de ressources consiste à utiliser des étendues. Les étendues sont des chaînes qui représentent le niveau d’accès ou le type d’opération que l’application cliente peut effectuer sur le serveur de ressources. Par exemple, une portée peut être « read:profile » ou « write:blog ». Le serveur d’autorisation émet des jetons d’accès avec des étendues basées sur le consentement de l’utilisateur et l’enregistrement du client. Le serveur de ressources vérifie ensuite les étendues dans le jeton d’accès et accorde ou refuse l’accès en conséquence. L’autorisation basée sur l’étendue est simple et largement prise en charge, mais elle présente certaines limites. Par exemple, les étendues sont statiques et prédéfinies, de sorte qu’elles ne peuvent pas exprimer de stratégies dynamiques ou complexes. En outre, les étendues sont grossières et peuvent ne pas refléter les autorisations réelles de l’utilisateur ou les attributs de la ressource.

2 Autorisation fondée sur les revendications

Une autre façon d’implémenter des stratégies d’autorisation affinées sur le serveur de ressources consiste à utiliser des revendications. Les revendications sont des paires clé-valeur qui fournissent des informations supplémentaires sur l’utilisateur ou l’application cliente, telles que le nom, l’adresse e-mail, le rôle ou le groupe de l’utilisateur. Le serveur d’autorisation peut incorporer des revendications dans le jeton d’accès, sous forme de texte brut ou de jeton Web JSON (JWT). Le serveur de ressources extrait ensuite les revendications du jeton d’accès et les évalue par rapport aux stratégies d’autorisation. L’autorisation basée sur les revendications est plus flexible et expressive que l’autorisation basée sur l’étendue, car elle peut gérer des stratégies dynamiques et complexes en fonction des attributs ou du contexte de l’utilisateur. Cependant, l’autorisation fondée sur les revendications présente également certains inconvénients. Par exemple, les revendications peuvent augmenter la taille et la complexité du jeton d’accès, ce qui peut affecter les performances et la sécurité. De plus, les réclamations peuvent ne pas être normalisées ou interopérables entre différents systèmes ou domaines.

3 Autorisation basée sur des stratégies

Une troisième façon d’implémenter des stratégies d’autorisation affinées sur le serveur de ressources consiste à utiliser l’autorisation basée sur des stratégies. L’autorisation basée sur des stratégies est une approche déclarative et externalisée qui sépare la logique d’autorisation du code d’application. Le serveur de ressources s’appuie sur un moteur de stratégie ou un point de décision de stratégie (PDP) pour évaluer les stratégies d’autorisation et renvoyer une décision d’accès. Les stratégies peuvent être écrites dans un langage spécifique au domaine (DSL) ou un langage standard, tel que eXtensible Access Control Markup Language (XACML) ou Attribute-Based Access Control (ABAC). Les stratégies peuvent également utiliser diverses sources d’informations, telles que le jeton d’accès, le profil de l’utilisateur, les métadonnées de la ressource ou le contexte environnemental. L’autorisation basée sur des stratégies est le moyen le plus avancé et le plus granulaire d’implémenter des stratégies d’autorisation affinées sur le serveur de ressources, car elle peut prendre en charge n’importe quel niveau de complexité et de variabilité. Toutefois, l’autorisation basée sur des stratégies nécessite également plus d’efforts et d’expertise pour concevoir, mettre en œuvre et maintenir les stratégies et le moteur de stratégie.

5 Voici ce qu’il faut prendre en compte

Il s’agit d’un espace pour partager des exemples, des histoires ou des idées qui ne correspondent à aucune des sections précédentes. Que voudriez-vous ajouter d’autre?