Authentification et autorisation

Question

Quelle est la différence dans le contexte des applications web ? Je vois souvent l'abréviation "auth". Signifie-t-elle authentification -enticulation ou authentification -Organisation ? Ou est-ce les deux ?

Answer 1

J'ai essayé de créer une image pour expliquer cela avec les mots les plus simples.

1) L'authentification signifie "Êtes-vous qui vous prétendez être ?".

2) L'autorisation signifie "Devriez-vous être en mesure de faire ce que vous essayez de faire ?".

Ceci est également décrit dans l'image ci-dessous.

J'ai essayé de l'expliquer dans les meilleurs termes possibles et d'en créer une image.

Answer 2

Authentification est le processus de vérification de l'identité proclamée.

• par exemple, nom d'utilisateur/mot de passe

Généralement suivi par autorisation qui est l'approbation que vous pouvez faire ceci et cela.

• par exemple, les autorisations

Answer 3

L'authentification est le processus de vérification de votre nom d'utilisateur et de votre mot de passe.

L'autorisation est le processus qui consiste à vérifier que vous pouvez accéder à quelque chose.

Answer 4

Complément à la réponse de @Kerrek ;

L'authentification est généralisée (tous les employés peuvent se connecter à la machine).

L'autorisation est une forme spécialisée (mais seul l'administrateur peut installer/désinstaller l'application dans la machine).

Answer 5

Définitions

Authentification - Êtes-vous la personne que vous prétendez être ?

Autorisation - Es-tu autorisé à faire ce que tu essaies de faire ?

Exemple

Une application web utilise Connexion Google . Une fois qu'un utilisateur s'est connecté avec succès, Google lui renvoie :

1. Un jeton JWT. Il peut être validé et décodé pour obtenir authentification informations. Le jeton est-il signé par Google ? Quels sont le nom et l'adresse électronique de l'utilisateur ?
2. Un jeton d'accès. Ce site autorise l'application web pour accéder aux API de Google au nom de l'utilisateur. Par exemple, l'application peut-elle accéder aux événements de l'agenda Google de l'utilisateur ? Ces autorisations dépendent des champs d'application demandés et de l'autorisation ou non de l'utilisateur.

En outre :

L'entreprise peut disposer d'un tableau de bord d'administration qui permet au support client de gérer les utilisateurs de l'entreprise. Au lieu de fournir une solution d'inscription personnalisée qui permettrait au support client d'accéder à ce tableau de bord, l'entreprise utilise Google Sign-In.

Le jeton JWT (reçu lors de la procédure d'inscription à Google) est envoyé au serveur d'autorisation de l'entreprise pour déterminer si l'utilisateur dispose d'une autorisation d'accès à Internet. G Suite avec le domaine hébergé de l'organisation (email@company.com) ? Et si c'est le cas, sont-ils membres du groupe Google de l'entreprise qui a été créé pour le support client ? Si vous répondez par l'affirmative à toutes ces questions, nous pouvons considérer qu'ils sont authentifié .

Le serveur d'autorisation de l'entreprise envoie ensuite à l'application du tableau de bord un jeton d'accès. Ce jeton d'accès peut être utilisé pour faire autorisé des requêtes au serveur de ressources de l'entreprise (par exemple, la possibilité de faire une requête GET à un point de terminaison qui renvoie tous les utilisateurs de l'entreprise).