सचित्र OAuth और OpenID कनेक्ट गाइड

लगभग। ट्रांस। : ओक्टा की उत्कृष्ट सामग्री बस और ग्राफिक रूप से बताती है कि OAuth और OIDC (ओपनआईडी कनेक्ट) कैसे काम करते हैं। यह ज्ञान डेवलपर्स, सिस्टम प्रशासक और यहां तक ​​कि लोकप्रिय वेब अनुप्रयोगों के "सामान्य उपयोगकर्ता" के लिए उपयोगी होगा, जो अन्य सेवाओं के साथ संवेदनशील डेटा का सबसे अधिक आदान-प्रदान करते हैं।

इंटरनेट के पाषाण युग में, सेवाओं के बीच जानकारी साझा करना आसान था। आपने बस अपने उपयोगकर्ता नाम और पासवर्ड को एक सेवा से दूसरी सेवा में दिया ताकि यह आपके खाते में प्रवेश कर सके और इसके लिए आवश्यक जानकारी प्राप्त हो सके।


"अपना बैंक खाता प्रदान करें।" “हम वादा करते हैं कि पासवर्ड और पैसे से सब ठीक हो जाएगा। यह ईमानदारी से ईमानदार है! ”* ही हे *

डरावना! किसी को भी किसी अन्य सेवा के साथ उपयोगकर्ता को अपने उपयोगकर्ता नाम और पासवर्ड, उनकी साख को साझा करने की आवश्यकता नहीं होनी चाहिए। इस बात की कोई गारंटी नहीं है कि इस सेवा के पीछे संगठन डेटा को सुरक्षित रखेगा और आवश्यकता से अधिक व्यक्तिगत जानकारी एकत्र नहीं करेगा। यह जंगली लग सकता है, लेकिन कुछ अनुप्रयोग अभी भी इस अभ्यास का उपयोग करते हैं!

आज एक एकल मानक है जो एक सेवा को दूसरे के डेटा का सुरक्षित रूप से उपयोग करने की अनुमति देता है। दुर्भाग्य से, ऐसे मानक बहुत सारे शब्दजाल और शब्दों का उपयोग करते हैं, जो उनकी समझ को जटिल बनाता है। इस सामग्री का उद्देश्य यह बताना है कि वे सरल चित्रों के साथ कैसे काम करते हैं (क्या आपको लगता है कि मेरे चित्र एक बेबी डब के समान हैं? ठीक है, ठीक है!)।



वैसे, यह गाइड वीडियो प्रारूप में भी उपलब्ध है:

देवियों और सज्जनों, मिलते हैं: OAuth 2.0

OAuth 2.0 एक सुरक्षा मानक है जो एक एप्लिकेशन को किसी अन्य एप्लिकेशन में जानकारी तक पहुंचने की अनुमति प्राप्त करने की अनुमति देता है। अनुमति (अनुमति ) जारी करने के चरणों के अनुक्रम को अक्सर प्राधिकरण या यहां तक ​​कि प्रत्यायोजित प्राधिकरण कहा जाता है। इस मानक का उपयोग करते हुए, आप किसी एप्लिकेशन को अपना पासवर्ड बताए बिना डेटा को पढ़ने या अपनी ओर से किसी अन्य एप्लिकेशन के कार्यों का उपयोग करने की अनुमति देते हैं। क्लास!

एक उदाहरण के रूप में, कल्पना करें कि आपने " भयानक भयानक दिन" नामक एक साइट की खोज की और अपने फोन पर पाठ संदेश के रूप में दैनिक दंड प्राप्त करने के लिए उस पर पंजीकरण करने का निर्णय लिया। आप वास्तव में साइट को पसंद करते हैं, और आपने इसे अपने सभी दोस्तों के साथ साझा करने का फैसला किया है। आखिर, हर किसी की तरह भयानक दंड, है ना?


"दिन की असफल सजा: क्या आपने उस आदमी के बारे में सुना है जिसने अपने शरीर के आधे हिस्से को खो दिया है?" अब वह हमेशा सही है! ”(अनुमानित अनुवाद, क्योंकि मूल का अपना दंड है, - लगभग। अनुवाद)।

यह स्पष्ट है कि संपर्क सूची से प्रत्येक व्यक्ति को लिखना एक विकल्प नहीं है। और, अगर आप मेरे जैसे थोड़े भी हैं, तो आप अनावश्यक काम से बचने के लिए कुछ भी करेंगे। सौभाग्य से दिन के भयानक पुन्य अपने सभी दोस्तों को अपने दम पर आमंत्रित कर सकते हैं! ऐसा करने के लिए, आपको बस उसे संपर्कों के ई-मेल का उपयोग करने की आवश्यकता है - साइट स्वयं उन्हें निमंत्रण (OAA ड्राइव) भेज देगी!


"हर कोई प्यार करता है!" - पहले से लॉग इन है? - अपनी संपर्क सूची के साथ भयानक पंक ऑफ़ द डे वेबसाइट साझा करना चाहते हैं? - धन्यवाद! अब, हर दिन हम आपको उन सभी को रिमाइंडर भेजेंगे जिन्हें आप समय के अंत तक जानते हैं! आप सबसे अच्छे दोस्त हैं! ”

1. अपनी ईमेल सेवा चुनें।
2. यदि आवश्यक हो, तो मेल साइट पर जाएं और अपने खाते में लॉग इन करें।
3. अपने संपर्कों को एक्सेस करने की अनुमति दें
4. डे वेबसाइट की भयानक पुन: वापसी।

यदि आप अपना दिमाग बदलते हैं, तो OAuth का उपयोग करने वाले एप्लिकेशन भी एक्सेस को रद्द करने का एक तरीका प्रदान करते हैं। यह तय करने के बाद कि आप अब भयानक पुन्य दिवस के साथ संपर्क साझा नहीं करना चाहते हैं, आप मेल साइट पर जा सकते हैं और अधिकृत अनुप्रयोगों की सूची से साइट को हटा सकते हैं।

OAuth स्ट्रीम

हम सिर्फ उस चीज से गुजरे जिसे आमतौर पर OAuth [प्रवाह] धारा कहा जाता है । हमारे उदाहरण में, इस प्रवाह में दृश्यमान चरण और साथ ही कई अदृश्य चरण शामिल हैं, जिसमें दो सेवाएँ सूचनाओं के सुरक्षित आदान-प्रदान पर सहमत हैं। द डे टेरिबल पुण ऑफ़ द डे उदाहरण सबसे आम OAuth 2.0 स्ट्रीम का उपयोग करता है, जिसे "प्राधिकरण कोड" प्रवाह के रूप में जाना जाता है।

OAuth के विवरण पर ध्यान देने से पहले, आइए कुछ शब्दों के अर्थ के बारे में बात करते हैं:

• संसाधन स्वामी :
  
  
  
  यह तुम हो! आप अपने क्रेडेंशियल्स, अपने डेटा और उन सभी कार्यों को प्रबंधित करते हैं जो आपके खातों के साथ किए जा सकते हैं।
• ग्राहक :
  
  
  
  एक आवेदन (उदाहरण के लिए, भयानक भयानक दिन की सेवा) जो संसाधन स्वामी की ओर से कुछ कार्यों तक पहुंचना या प्रदर्शन करना चाहता है।
• प्राधिकरण सर्वर :
  
  
  
  एक आवेदन जो रिसोर्स ओनर को जानता है और जिसमें रिसोर्स ओनर के पास पहले से ही एक खाता है।
• संसाधन सर्वर :
  
  
  
  एक एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस (एपीआई) या सेवा जो एक ग्राहक संसाधन स्वामी की ओर से उपयोग करना चाहता है।
• अनुप्रेषित URI :
  
  
  
  वह लिंक जिस पर प्राधिकरण सर्वर रिसोर्स ओनर को ' क्लाइंट की अनुमति देने के बाद' को पुनर्निर्देशित करता है। इसे कभी-कभी कॉलबैक URL भी कहा जाता है।
• प्रतिक्रिया प्रकार :
  
  
  
  क्लाइंट को प्राप्त होने की उम्मीद है कि सूचना का प्रकार। सबसे आम रिस्पांस टाइप कोड है, अर्थात, क्लाइंट को ऑथराइज़ेशन कोड प्राप्त होने की उम्मीद है।
• स्कोप :
  
  
  
  यह उन अनुमतियों का विस्तृत विवरण है, जिनकी क्लाइंट को ज़रूरत होती है, जैसे डेटा एक्सेस करना या कुछ क्रियाएं करना।
• सहमति :
  
  
  
  प्राधिकरण सर्वर क्लाइंट द्वारा अनुरोधित स्कोप लेता है और संसाधन स्वामी से पूछता है कि क्या वह क्लाइंट को उचित अनुमति देने के लिए तैयार है।
• ग्राहक आईडी :
  
  
  
  इस आईडी का उपयोग प्राधिकरण सर्वर पर क्लाइंट की पहचान करने के लिए किया जाता है।
• ग्राहक गुप्त :
  
  
  
  यह एक पासवर्ड है जो केवल क्लाइंट और प्राधिकरण सर्वर के लिए जाना जाता है। यह उन्हें गोपनीय रूप से सूचना का आदान-प्रदान करने की अनुमति देता है।
• प्राधिकरण कोड :
  
  
  
  एक अल्पकालिक अस्थायी कोड जो क्लाइंट एक एक्सेस टोकन के बदले में प्राधिकरण सर्वर को प्रदान करता है।
• टोकन का उपयोग करें :
  
  
  
  वह कुंजी जो क्लाइंट रिसोर्स सर्वर के साथ संचार करने के लिए उपयोग करेगा। यह एक बैज या कुंजी कार्ड है जो क्लाइंट को आपकी ओर से संसाधन सर्वर पर डेटा का अनुरोध करने या कार्रवाई करने की अनुमति देता है।

नोट : कभी-कभी प्राधिकरण सर्वर और संसाधन सर्वर एक ही सर्वर होते हैं। हालांकि, कुछ मामलों में, ये अलग-अलग सर्वर हो सकते हैं, समान संगठन से संबंधित भी नहीं। उदाहरण के लिए, एक प्राधिकरण सर्वर एक तृतीय-पक्ष सेवा हो सकती है जो संसाधन सर्वर पर भरोसा करती है।

अब जब हम OAuth 2.0 की मूल अवधारणाओं से परिचित हो गए हैं, तो आइए अपने उदाहरण पर वापस जाएं और OAuth स्ट्रीम में क्या होता है, इस पर करीब से नज़र डालें।

1. आप, रिसोर्स ओनर , अपने कॉन्टैक्ट्स को टेरिबल पीन ऑफ़ द डे ( क्लाइंट का) एक्सेस देना चाहेंगे, ताकि वह आपके सभी दोस्तों को इनविटेशन भेज सकें।
2. क्लाइंट ब्राउज़र को प्राधिकरण सर्वर पृष्ठ पर पुनर्निर्देशित करता है और इसमें क्लाइंट आईडी , रीडायरेक्ट यूआरआई , रिस्पॉन्स टाइप, और एक या अधिक स्कोप (अनुमतियाँ) का अनुरोध शामिल होता है, जिसकी उसे आवश्यकता होती है।
3. प्राधिकरण सर्वर एक उपयोगकर्ता नाम और पासवर्ड के लिए पूछते हुए, यदि आवश्यक हो, तो आपको चेक करता है।
4. प्राधिकरण सर्वर क्लाइंट द्वारा अनुरोधित सभी स्कोप की सूची के साथ एक सहमति फॉर्म प्रदर्शित करता है। आप सहमत हैं या इनकार करते हैं।
5. प्राधिकरण सर्वर आपको प्राधिकरण कोड के साथ रीडायरेक्ट URI का उपयोग करके क्लाइंट की साइट पर पुनर्निर्देशित करता है ।
6. क्लाइंट सीधे प्राधिकरण सर्वर ( संसाधन स्वामी के ब्राउज़र को दरकिनार) के साथ संचार करता है और सुरक्षित रूप से क्लाइंट आईडी , क्लाइंट सीक्रेट और प्राधिकरण कोड भेजता है।
7. प्राधिकरण सर्वर डेटा को मान्य करता है और एक्सेस टोकन के साथ प्रतिक्रिया करता है।
8. ग्राहक अब संपर्क सूची प्राप्त करने के लिए संसाधन सर्वर को अनुरोध भेजने के लिए एक्सेस टोकन का उपयोग कर सकते हैं।

क्लाइंट आईडी और सीक्रेट

इससे पहले कि आप अपने संपर्कों तक पहुँचने के लिए दिन के भयानक पुन्य की अनुमति दें, क्लाइंट और प्राधिकरण सर्वर ने एक कामकाजी संबंध स्थापित किया। प्राधिकरण सर्वर ने क्लाइंट आईडी और क्लाइंट सीक्रेट (कभी-कभी ऐप आईडी और ऐप सीक्रेट कहा जाता है) उत्पन्न किया और उन्हें OAuth के भीतर आगे की बातचीत के लिए क्लाइंट को भेज दिया।


"- अरे! मैं तुम्हारे साथ काम करना चाहूंगा! - हां, कोई सवाल नहीं! यहां आपकी क्लाइंट आईडी और सीक्रेट हैं! "

नाम संकेत देता है कि क्लाइंट सीक्रेट को गुप्त रखा जाना चाहिए ताकि केवल क्लाइंट और प्राधिकरण सर्वर इसे जान सकें। वास्तव में, यह उनकी मदद से है कि प्राधिकरण सर्वर क्लाइंट की सच्चाई की पुष्टि करता है।

लेकिन यह सब नहीं है ... कृपया OpenID कनेक्ट का स्वागत करें!

OAuth 2.0 को केवल प्राधिकरण के लिए डिज़ाइन किया गया है - एक एप्लिकेशन से दूसरे में डेटा और सुविधाओं तक पहुंच प्रदान करने के लिए। OpenID कनेक्ट (OIDC) OAuth 2.0 के शीर्ष पर एक पतली परत है जो खाते में लॉग इन किए गए उपयोगकर्ता के उपयोगकर्ता नाम और प्रोफ़ाइल के बारे में जानकारी जोड़ता है। लॉगिन सत्र के संगठन को अक्सर प्रमाणीकरण कहा जाता है , और लॉग इन करने वाले उपयोगकर्ता (जो कि संसाधन स्वामी के बारे में है) के बारे में जानकारी को पहचान कहा जाता है । यदि प्राधिकरण सर्वर OIDC का समर्थन करता है, तो इसे कभी-कभी एक पहचान प्रदाता कहा जाता है क्योंकि यह क्लाइंट को संसाधन स्वामी के बारे में जानकारी प्रदान करता है।

ओपनआईडी कनेक्ट आपको उन परिदृश्यों को लागू करने की अनुमति देता है जब एक लॉगिन का उपयोग कई अनुप्रयोगों में किया जा सकता है - इस दृष्टिकोण को एकल साइन-ऑन (एसएसओ) के रूप में भी जाना जाता है। उदाहरण के लिए, एक एप्लिकेशन फेसबुक या ट्विटर जैसे सामाजिक नेटवर्क के साथ एसएसओ एकीकरण का समर्थन कर सकता है, जिससे उपयोगकर्ता अपने पास पहले से मौजूद एक खाते का उपयोग कर सकते हैं और जिसका वे उपयोग करना पसंद करते हैं।



OpenID कनेक्ट प्रवाह OAuth के समान है। एकमात्र अंतर यह है कि प्रारंभिक अनुरोध में, उपयोग किया जाने वाला विशिष्ट दायरा openid , और क्लाइंट को अंततः एक्सेस टोकन और आईडी टोकन दोनों प्राप्त होते हैं।



OAuth स्ट्रीम की तरह, OpenID कनेक्ट में एक्सेस टोकन क्लाइंट द्वारा समझे नहीं जाने वाला मान है। क्लाइंट के दृष्टिकोण से, एक्सेस टोकन , वर्णों के एक निश्चित स्ट्रिंग का प्रतिनिधित्व करता है, जो संसाधन सर्वर के प्रत्येक अनुरोध के साथ प्रसारित होता है, जो निर्धारित करता है कि टोकन मान्य है या नहीं। आईडी टोकन एक पूरी तरह से अलग है।

आईडी टोकन एक JWT है

आईडी टोकन एक विशेष रूप से स्वरूपित वर्ण स्ट्रिंग है जिसे JSON वेब टोकन या JWT के रूप में जाना जाता है (कभी-कभी JWT टोकन को "जॉट्स" कहा जाता है) । JWT बाहरी लोगों के लिए एक समझदार जिबरिश की तरह लग सकता है, लेकिन क्लाइंट JWT से विभिन्न जानकारी, जैसे आईडी, उपयोगकर्ता नाम, खाता लॉगिन समय, आईडी टोकन समाप्ति तिथि और JWT में हस्तक्षेप करने का प्रयास कर सकता है। टोकन आईडी के अंदर के डेटा को क्लेम कहा जाता है।



ओआईडीसी के मामले में, एक मानक तरीका भी है जिसमें क्लाइंट प्राधिकरण सर्वर से पहचान के बारे में अतिरिक्त जानकारी का अनुरोध कर सकता है, उदाहरण के लिए, एक्सेस टोकन का उपयोग करके एक ईमेल पता।

OAuth और OIDC के बारे में और जानें।

इसलिए, हमने संक्षेप में समीक्षा की कि OAuth और OIDC कैसे काम करते हैं। गहरी खुदाई करने के लिए तैयार हैं? OAuth 2.0 और OpenID कनेक्ट के बारे में अधिक जानने में मदद करने के लिए यहां अतिरिक्त संसाधन हैं:

• Ock क्या बिल्ली है?
• कोई भी OAuth या OpenID कनेक्ट के बारे में परवाह नहीं करता है
• PKA फ्लो के साथ OAuth 2.0 प्राधिकरण कोड को लागू करें
• OAuth 2.0 अनुदान प्रकार क्या है?
• OAuth 2.0 कमांड लाइन से
• SQL सर्वर के साथ एक सुरक्षित Node.js ऐप बनाएँ

हमेशा की तरह, टिप्पणी करने के लिए स्वतंत्र महसूस करें। हमारे नवीनतम नवाचारों के बराबर रखने के लिए, डेवलपर्स के लिए ट्विटर और यूट्यूब के लिए ओक्टा की सदस्यता लें!

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " कुबेरनेट्स में सुरक्षा के एबीसी: प्रमाणीकरण, प्राधिकरण, ऑडिट ";
• " कुबेरनेट्स में उपयोगकर्ता और आरबीएसी प्राधिकरण ";
• " 33+ कुबेरनेट सुरक्षा उपकरण ";
• " डॉकटर कंटेनरों की सुरक्षा ।"