6.2. Resource Server (Ressourcenserver)

6.2 Resource Server (Ressourcenserver)

OAuth trennt Rollen: Der Resource Server verlässt sich auf den Authorization Server für Client-Authentifizierung und Endbenutzer-Autorisierung. Autorisierungsentscheidungen basieren auf dem Access Token; der Client wird als solcher nicht direkt authentifiziert. Art der Token-Zertifikatsbindung und Proof-of-Possession-Prüfung sind von der Authentifizierungsmethode beim Authorization Server entkoppelt. Mutual TLS beim Ressourcenzugriff kann daher rein Proof-of-Possession sein. In keiner hier definierten Methode muss der Resource Server die Vertrauenskette des Clientzertifikats validieren. Er konfiguriert TLS entsprechend ohne CA-Signaturprüfung des Clientzertifikats.