RFC 9396 - OAuth 2.0 Umfangreiche Autorisierungsanfragen
Veröffentlicht: Mai 2023
Status: Standards Track
Autoren: T. Lodderstedt (yes.com), J. Richer (Bespoke Engineering), B. Campbell (Ping Identity)
Zusammenfassung (Abstract)
Dieses Dokument spezifiziert einen neuen Parameter authorization_details, der verwendet wird, um feinkörnige Autorisierungsdaten in OAuth-Nachrichten zu übertragen.
Status dieses Memos (Status of This Memo)
Dies ist ein Dokument des Internet Standards Track.
Dieses Dokument ist ein Produkt der Internet Engineering Task Force (IETF). Es repräsentiert den Konsens der IETF-Community. Es hat eine öffentliche Überprüfung erhalten und wurde von der Internet Engineering Steering Group (IESG) zur Veröffentlichung genehmigt. Weitere Informationen zu Internet Standards sind in Abschnitt 2 von RFC 7841 verfügbar.
Informationen über den aktuellen Status dieses Dokuments, etwaige Errata und wie Sie Feedback dazu geben können, finden Sie unter https://www.rfc-editor.org/info/rfc9396.
Urheberrechtshinweis (Copyright Notice)
Copyright (c) 2023 IETF Trust und die als Dokumentautoren identifizierten Personen. Alle Rechte vorbehalten.
Dieses Dokument unterliegt BCP 78 und den rechtlichen Bestimmungen des IETF Trust in Bezug auf IETF-Dokumente (https://trustee.ietf.org/license-info), die zum Zeitpunkt der Veröffentlichung dieses Dokuments gültig sind. Bitte lesen Sie diese Dokumente sorgfältig durch, da sie Ihre Rechte und Einschränkungen in Bezug auf dieses Dokument beschreiben. Aus diesem Dokument extrahierte Codekomponenten müssen den Text der überarbeiteten BSD-Lizenz enthalten, wie in Abschnitt 4.e der Trust Legal Provisions beschrieben, und werden ohne Gewährleistung bereitgestellt, wie in der überarbeiteten BSD-Lizenz beschrieben.
Inhaltsverzeichnis (Contents)
- 1. Einleitung
- 1.1. Konventionen und Terminologie
- 2. Anforderungsparameter "authorization_details"
- 2.1. Autorisierungsdetail-Typen
- 2.2. Gemeinsame Datenfelder
- 3. Autorisierungsanfrage
- 3.1. Beziehung zum "scope"-Parameter
- 3.2. Beziehung zum "resource"-Parameter
- 4. Autorisierungsantwort
- 5. Autorisierungsfehlerantwort
- 6. Token-Anfrage
- 6.1. Vergleich von Autorisierungsdetails
- 7. Token-Antwort
- 7.1. Erweiterte Autorisierungsdetails in der Token-Antwort
- 8. Token-Fehlerantwort
- 9. Ressourcenserver
- 9.1. JWT-basierte Zugriffstoken
- 9.2. Token-Introspection
- 10. Metadaten
- 11. Implementierungsüberlegungen
- 11.1. Verwendung von Autorisierungsdetails in einer bestimmten Bereitstellung
- 11.2. Minimale Implementierungsunterstützung
- 11.3. Verwendung maschinenlesbarer Typschemata
- 11.4. Große Anfragen
- 12. Sicherheitsüberlegungen
- 13. Datenschutzüberlegungen
- 14. IANA-Überlegungen
- 14.1. OAuth-Parameter-Registrierung
- 14.2. JSON Web Token Claims-Registrierung
- 14.3. OAuth Token Introspection Response-Registrierung
- 14.4. OAuth Authorization Server Metadata-Registrierung
- 14.5. OAuth Dynamic Client Registration Metadata-Registrierung
- 14.6. OAuth Extensions Error-Registrierung
- 15. Referenzen
- 15.1. Normative Referenzen
- 15.2. Informative Referenzen
Anhang (Appendix)
- Anhang A. Zusätzliche Beispiele
- A.1. OpenID Connect
- A.2. Fernelektronische Signatur
- A.3. Zugriff auf Steuerdaten
- A.4. Elektronisches Gesundheitswesen
Verwandte Ressourcen (Related Resources)
- Offizieller Text: RFC 9396 (TXT)
- Offizielle Seite: RFC 9396 DataTracker
- Errata: RFC Editor Errata