OAuth + OpenID Connect

Conceptos básicos:

• Autorización
  Otorgar permisos a un usuario para limitar sus accesos.
• Autenticación
  Verificar la identidad del usuario (usuario existe, permisos adecuados, …).
  • Autenticación tradicional

    +---------+          +--------+
    |         | -------> |        | 
    | Browser |          | Server |
    |         | <------- |        |
    +---------+          +--------+
      cookie              session
      created             created

  • Autenticación con tokens

    +---------+          +--------+
    |         | -------> |        | 
    | Browser |          | Server |
    |         | <------- |        |
    +---------+          +--------+
       token               token
       saved               signed

OAuth

Para autorización

• Resource owner (user): Entidad que concede acceso a recursos protegidos
• Resource server (Service API): Almacena recursos protegidos
• Client (aplicación): Pide recursos protegidos en nombre del resource owner
• Authorization server (Service API): Autentica que el RO es valido y genera los access token

OpenID Connect

Para autenticación

• Capa adicional basada en OAuth.
• Verificar que el usuario está autenticado e información básica
• Información más completa del usuario
• Indica cómo hacer el manejo de sesión (logout, SSO)

Anuncio publicitario