第1党の集中アカウントアプリのROPCまたはクライアントの資格認可？

Question

私たちは、アカウントが単一のアカウント（会社）によって管理されるapp-1とapp-2 REST APIを開発しています。 jiraと合流アプリケーションのためのatlassianアカウントが必要なときに似たようなもの。

私は、/loginエンドポイントとどこにセッションを作成するのかをどこで混同しているのですか。私は確かに、セッションは、oauth2プロバイダ（認可+リソース）で将来的にサードパーティのoauth2クライアントを考慮して作成する必要があります。

ROPCで見ると、oauth2-clientには/loginがあり、資格情報を使用して承認サーバーにpassword grant_type要求を送信し、アクセストークンを作成してセッションにバインドします。セッションIDは、後続のリソースエンドポイント要求のためにUser-agentに返さなければなりません。 Client Credential Grant中に、/ loginとエンドポイントを持ち、userIDに直接sessionIDを発行する認証サーバーが表示されます。

アクセストークンはサーバー側に置く必要がありますか？

フォローアップの質問：https://stackoverflow.com/questions/40148613/ropc-and-oidc-for-rest-api-1st-and-3rd-party-clients

Answer 1

リソースの所有者パスワードの認証情報の付与（ROPC）とクライアントの資格の付与（CC）との間に有意な違いがあります。第2には別のリソース所有者が関与していません。

CCを使用すると、アプリケーション自体が代わって動作し、特定のユーザーの範囲にない可能性が高いリソースにアクセスするだけのアプリケーションを使用できます。これは、次の図に示します。

（ソース：Client Credentials Grant）

クライアントアプリケーションがユーザーに代わってAPIと対話する場合、これはあなたが探している助成金ではありませんの場合。

アクセストークンに関する質問では、答えはいいえです。サーバー環境外のクライアントアプリケーションでアクセストークンを利用できるようにすることができます。追加のセキュリティ上のリスクがありますが、これが不可能な場合は、モバイルアプリケーションとブラウザベースのアプリケーションでは、必要なAPIにアクセスできません。