私は、次のAPIのためにOAuth 2を設定する作業を進めています。意図された使用は他のソフトウェアが私たちのAPIと相互作用できるようにすることです。私が直面している問題は、あるユーザー（管理者）がアプリケーションを承認することで統合をセットアップする方法を決定することですが、他のソフトウェアのすべてのユーザーがソフトウェアでアクションを実行できるようにしながら、アクション。私は、アクションを実行するユーザーを示すように設定されるヘッダーまたはパラメーターの使用を検討しています。OAuth 2 Company - > Employee Hierarchy
各ユーザーにOAuthを設定させることなく、実行されたユーザーや操作を追跡できるようにするために、このような設定や最適化の例がありますか？
OAuth2サーバーを権限委譲に反対する権限のユーザー許可ストアとして使用する場合（アプリケーションがGoogle OAuth2アクセストークンを使用してユーザーの代わりに操作を実行する場合など）、すべてのアクセス許可（認証/認可プロセスを開始したアプリケーションによって特別に要求されたものだけでなく）発行されたアクセストークンに含まれるべきユーザの数それを設定する方法はOAuth2仕様の範囲を超えており、各実装固有のものです。
一部のアプリケーションがAPIを呼び出すと、Authorization: Bearer accessTokenValue HTTPリクエストヘッダーにアクセストークンを取得する必要があります。このトークンを検証し、その権限を抽出し、トークンが発行されたユーザーに関する情報も取得する必要があります。これは、OAuth2イントロスペクションエンドポイントで実行できます。詳細情報については、
を参照してください私はあなたがユーザのアクションを追跡する方法がわからないので、私は情報は上記のご質問の一部をカバーしたいと考えています。
会社の設立についてもっと興味があり、統合を実行して従業員がその行動を実行できるようにします。 – CWitty
あなたに同意します。私はそのための適切な場所がイントロスペクションエンドポイントだと思う。 RFC7662で言及されているように、このトークンに関するメタ情報を決定するために設計されています。リソース所有者役割は、ここでASとRSとの間で共有することができる –