[OAuth2] 용어정리 2

https://tools.ietf.org/html/rfc6749#section-1.6

RFC 6749 - The OAuth 2.0 Authorization Framework

TLS Version

OAuth2 명세에는 Transport Layer Security (TLS)를 항상 사용한다. TLS의 버전은 늘 바뀌고 있다.

 

HTTP Redirections

OAuth2 명세에서 클라이언트 또는 인증서버에서 리소스 소유자의 유저 에이전트 ( 보통 웹브라우저)가 다른 목적지로 보내는 HTTP 리다이렉션을 광범위하게 사용하고 있다. 예제에서 HTTP 302 상태 코드를 사용하였지만, 리다이렉션을 만들기 위해 사용자 에이전트를 통해 이용 가능한 다른 메서드도 허용되고 세부 구현이 되는 것으로 간주한다.

While the examples in this specification show the use of the HTTP 302 status code, any other method available via the user-agent to accomplish this redirection is allowed and is considered to be an implementation detail.

Interoperability ( 상호운용성 )

OAuth 2.0은 잘 정의된 보안 속성을 갖춘 풍부한 인증 프레임워크를 제공한다.

그러나 많은 선택적 구성요소가 풍부하고 확장성이 뛰어난 프레임워크로서, OAuth2.0 명세는 광범위한 상호 운용 불가능한 구현을 생성할 수 있다.

 

또한, 이 명세에서는 일부 필수 구성 요소를 부분적으로 또는 완전히 정의하지 않은 상태로 둔다.

( 예를 들면, client registration, authoriziation server capabilities, endpoint discovery)

이러한 구성요소가 없으면 클라이언트가 상호 작용하기 위해 특정 권한 부여 서버 및 리소스 서버에 대해 수동으로 구체적으로 설정해야 한다.

 

이 프레임워크는 향후 작업이 완전한 웹 규모 상호 운용성을 달성하는데 필요한 규범적 프로파일과 확장을 정의할 것이라는 명확한 기대로 설계되었다.

 

 

Authorization Code Grant ( 인증 코드 부여 )

(A) The client initiates the flow by directing the resource owner's user-agent to the authorization endpoint. The client includes its client identifier, requested scope, local state, and a redirection URI to which the authorization server will send the user-agent back once access is granted (or denied).

(B) The authorization server authenticates the resource owner (via the user-agent) and establishes whether the resource owner grants or denies the client's access request.

(C) Assuming the resource owner grants access, the authorization server redirects the user-agent back to the client using the redirection URI provided earlier (in the request or during client registration). The redirection URI includes an authorization code and any local state provided by the client earlier.

(D) The client requests an access token from the authorization server's token endpoint by including the authorization code received in the previous step. When making the request, the client authenticates with the authorization server. The client includes the redirection URI used to obtain the authorization code for verification.

(E) The authorization server authenticates the client, validates the authorization code, and ensures that the redirection URI received matches the URI used to redirect the client in step

(C). If valid, the authorization server responds back with an access token and, optionally, a refresh token.