यह पोस्ट प्रारंभ में मेरे ब्लॉग पर प्रकाशित हुई थी। नीचे दिए गए लिंक का उपयोग करके मूल स्रोत देखें:

एसएएमएल बनाम ओएथ बनाम ओपनआईडी कनेक्ट

यह आलेख SAML, OAuth और OpenID कनेक्ट, उनके उपयोग के मामलों और वे एक दूसरे के साथ कैसे इंटरैक्ट करते हैं, इसका पता लगाएगा

rahulvijayvergiya.hashnode.dev

एप्लिकेशन और डेटा की सुरक्षा सुनिश्चित करने के लिए प्रमाणीकरण और प्राधिकरण महत्वपूर्ण हैं। इन प्रक्रियाओं को प्रबंधित करने के लिए तीन व्यापक रूप से उपयोग किए जाने वाले प्रोटोकॉल OAuth, SAML और OpenID हैं।

जब आप अन्य वेबसाइटों पर लॉग इन करने के लिए फेसबुक, गूगल या लिंक्डइन जैसे ऐप्स का उपयोग करते हैं, तो आप कुछ महत्वपूर्ण प्रोटोकॉल का सामना कर रहे हैं: OAuth, SAML, और OpenID Connect । ये प्रोटोकॉल आपको विभिन्न सेवाओं तक पहुंचने की अनुमति देते हुए आपकी जानकारी को सुरक्षित रखने में मदद करते हैं।

1. एसएएमएल (सुरक्षा अभिकथन मार्कअप भाषा)

एसएएमएल पार्टियों के बीच प्रमाणीकरण और प्राधिकरण डेटा के आदान-प्रदान के लिए एक खुला मानक है, विशेष रूप से एक पहचान प्रदाता (आईडीपी) और एक सेवा प्रदाता (एसपी) के बीच। इसका उपयोग मुख्य रूप से एकल साइन-ऑन (एसएसओ) परिदृश्यों के लिए किया जाता है, जो उपयोगकर्ताओं को एक बार प्रमाणित करने और कई अनुप्रयोगों तक पहुंच प्राप्त करने में सक्षम बनाता है।

एसएएमएल कैसे काम करता है

भूमिकाएं/अभिनेता:

• उपयोगकर्ता: एप्लिकेशन तक पहुंचने वाला व्यक्ति।

• पहचान प्रदाता (आईडीपी): वह सेवा जो उपयोगकर्ता को प्रमाणित करती है और पहचान का दावा प्रदान करती है।

• सेवा प्रदाता (एसपी): उपयोगकर्ता जिस एप्लिकेशन या सेवा तक पहुंचने का प्रयास कर रहा है।

अनुरोध प्रवाह आरेख:

एसएएमएल की मुख्य विशेषताएं

• सिंगल साइन-ऑन (एसएसओ): उपयोगकर्ता कई सेवाओं के लिए एक बार प्रमाणित करते हैं।

• XML-आधारित: संदेशों के लिए XML का उपयोग करता है, जो इसे मजबूत बनाता है।

• सुरक्षित अभिकथन: उपयोगकर्ता की पहचान और विशेषताओं को सुरक्षित रूप से प्रसारित करता है।

2. OAuth (खुला प्राधिकरण)

OAuth एक्सेस डेलिगेशन के लिए एक खुला मानक है जिसका उपयोग आमतौर पर टोकन-आधारित प्रमाणीकरण और प्राधिकरण के लिए किया जाता है। यह तृतीय-पक्ष एप्लिकेशन को उनकी साख उजागर किए बिना उपयोगकर्ता डेटा तक पहुंचने की अनुमति देता है। OAuth का उपयोग मुख्य रूप से प्राधिकरण के लिए किया जाता है, जो उपयोगकर्ताओं को एक साइट पर होस्ट किए गए अपने संसाधनों तक दूसरी साइट तक सीमित पहुंच प्रदान करने में सक्षम बनाता है।

OAuth कैसे काम करता है

भूमिकाएं/अभिनेता:

• संसाधन स्वामी: वह उपयोगकर्ता जो डेटा का स्वामी है और उस तक पहुंच प्रदान करता है।

• संसाधन सर्वर: उपयोगकर्ता के डेटा को होस्ट करने वाला सर्वर (जैसे, Google, Facebook)।

• क्लाइंट: उपयोगकर्ता के डेटा तक पहुंच का अनुरोध करने वाला तृतीय-पक्ष एप्लिकेशन।

• प्राधिकरण सर्वर: संसाधन स्वामी को प्रमाणित करने के बाद क्लाइंट को एक्सेस टोकन जारी करने के लिए जिम्मेदार सर्वर।

अनुरोध प्रवाह आरेख:

OAuth की मुख्य विशेषताएं

• प्रत्यायोजित पहुंच: उपयोगकर्ता क्रेडेंशियल साझा किए बिना पहुंच प्रदान कर सकते हैं।

• एक्सेस टोकन: अल्पकालिक टोकन जो एक्सेस अवधि को सीमित करते हैं।

• क्षेत्र: ग्राहक को दी गई पहुंच की सीमा को परिभाषित करें।

3. ओपनआईडी कनेक्ट

ओपनआईडी कनेक्ट OAuth 2.0 के शीर्ष पर निर्मित एक प्रमाणीकरण परत है। यह पहचान सत्यापन जोड़ता है और ग्राहकों को प्राधिकरण सर्वर द्वारा किए गए प्रमाणीकरण के आधार पर उपयोगकर्ता की पहचान सत्यापित करने का एक तरीका प्रदान करता है।

ओपनआईडी कनेक्ट कैसे काम करता है

भूमिकाएं/अभिनेता:

• अंतिम उपयोगकर्ता: वह उपयोगकर्ता जो प्रमाणित करना चाहता है।

• क्लाइंट: उपयोगकर्ता प्रमाणीकरण का अनुरोध करने वाला एप्लिकेशन।

• प्राधिकरण सर्वर: सर्वर जो उपयोगकर्ता को प्रमाणित करता है और टोकन जारी करता है।

अनुरोध प्रवाह आरेख:

ओपनआईडी कनेक्ट की मुख्य विशेषताएं

• आईडी टोकन: जेडब्ल्यूटी जो उपयोगकर्ता की जानकारी और दावे प्रदान करते हैं।

• OAuth के साथ निर्बाध एकीकरण: प्रमाणीकरण और प्राधिकरण को जोड़ता है।

• उपयोगकर्ता जानकारी समापन बिंदु: अतिरिक्त उपयोगकर्ता जानकारी लाने की अनुमति देता है।

ओपनआईडी कनेक्ट और OAuth

समान लगते हैं लेकिन वे दोनों अलग-अलग लेकिन पूरक उद्देश्यों को पूरा करते हैं:

• OAuth: प्राधिकरण के लिए उपयोग किया जाता है। यह ऐप्स को आपके पासवर्ड की आवश्यकता के बिना किसी अन्य सेवा (जैसे, फेसबुक या Google) से संसाधनों (जैसे आपकी प्रोफ़ाइल या फ़ोटो) तक पहुंचने की अनुमति देता है। जब आप अपने डेटा तक सीमित पहुंच प्रदान करना चाहते हैं (उदाहरण के लिए, कोई तृतीय-पक्ष ऐप आपके कैलेंडर तक पहुंच रहा है) तो OAuth का उपयोग करें।

• ओपनआईडी कनेक्ट (ओआईडीसी): OAuth के शीर्ष पर निर्मित, इसका उपयोग प्रमाणीकरण के लिए किया जाता है। यह आपकी पहचान को सत्यापित करता है और ऐप्स को यह जानने की अनुमति देता है कि आप कौन हैं। जब आपको Google जैसी सेवा का उपयोग करके किसी वेबसाइट या ऐप में लॉग इन करने की आवश्यकता हो, तो यह साबित करने के लिए कि आप कौन हैं, OpenID कनेक्ट का उपयोग करें।

कब उपयोग करें:

• OAuth का उपयोग करें:

  • जब आप चाहते हैं कि कोई ऐप आपकी ओर से डेटा या संसाधनों तक पहुंच सके (उदाहरण के लिए, आपके लिए ट्विटर पर पोस्ट करने वाला ऐप)।
  • "क्या यह ऐप मेरे डेटा तक पहुंच सकता है?" (प्राधिकरण)

• ओपनआईडी कनेक्ट का उपयोग करें:

  • जब आपको किसी उपयोगकर्ता की पहचान सत्यापित करने की आवश्यकता होती है (उदाहरण के लिए, अपने Google खाते का उपयोग करके किसी वेबसाइट में साइन इन करना)।
  • "यह उपयोगकर्ता कौन है?" (प्रमाणीकरण)

OAuth, SAML और OpenID कनेक्ट की त्वरित तुलना

निष्कर्ष

उपयोगकर्ता प्रमाणीकरण और प्राधिकरण को प्रभावी ढंग से संभालने वाले सुरक्षित एप्लिकेशन बनाने के लिए OAuth, SAML और OpenID कनेक्ट को समझना आवश्यक है। प्रत्येक प्रोटोकॉल का अपना उद्देश्य होता है, यह सुनिश्चित करना कि आप अपने डेटा को सुरक्षित रखते हुए अपनी ज़रूरत की चीज़ों तक पहुंच सकें।

संदर्भ

1. OAuth 2.0 को सरलता से समझाया गया

2. एसएएमएल क्या है?

3. ओपनआईडी कनेक्ट अवलोकन

4. अंतर को समझना: OAuth, SAML, और OpenID कनेक्ट