Zum Hauptinhalt springen

Authentifizierung und Integration

Konzept

Die Security API soll den zentralen Sicherheitskontext ausstellen. Geschützte APIs prüfen diesen Kontext nach freigegebenen Regeln und wenden zusätzlich ihre eigenen Ressourcenberechtigungen an.

Geplanter Ablauf​

  1. Eine Anwendung authentifiziert die Person über die Security API.
  2. Die Security API stellt einen begrenzten, prüfbaren Sicherheitskontext bereit.
  3. Die Anwendung übermittelt ihn an die benötigte Produkt- oder Infrastruktur-API.
  4. Der empfangende Dienst prüft Gültigkeit und vorgesehenen Verwendungsbereich.
  5. Der Dienst entscheidet zusätzlich über den Zugriff auf die konkrete Ressource.

API-zu-API-Kommunikation​

Dienste verwenden eigene Service-Identitäten und erhalten nur benötigte Rechte. Menschliche Identitäten dürfen nicht als allgemeiner Ersatz für Dienstzugriffe missbraucht werden.

Konkrete Formate, Übertragungsregeln, Laufzeiten und Endpunkte werden erst nach Implementierung und Sicherheitsprüfung veröffentlicht.