多租户REST API防护的OAuth流程选型及SAML实现方案问询

OAuth2 流程适配方案 #

1. Client Credentials 流优化方案 #

原方案只能实现租户级身份识别的问题可以通过扩展令牌参数解决，适配租户内用户区分的需求：

• 仍为每个租户分配唯一的client_id和client_secret作为租户身份凭证
• 租户侧服务请求令牌时，需额外传入user_id、user_permission等用户身份参数，你方身份服务校验client凭证合法后，将租户标识、用户标识全部写入JWT令牌的Payload中
• 资源服务器接收API请求时解析JWT，即可同时完成租户、用户两级身份校验和权限控制
  该方案完全适配无UI纯API服务的场景，无需额外交互流程，适合调用方为租户侧后端服务的场景。

2. Authorization Code 流无UI场景适配 #

Authorization Code流本身需要用户交互完成授权，在你方服务无UI的场景下可以做如下适配：

• 你方仅作为资源服务器+令牌颁发方，提供标准的授权端点、令牌端点即可，授权交互由调用方的客户端承载（比如租户侧的前端页面、CLI工具的内嵌浏览器）
• 如果调用方也是无UI的服务类应用，Authorization Code流并不适用，建议直接使用上面优化后的Client Credentials流即可

SAML 适配方案 #

SAML适合需要支持租户对接自有身份体系的场景（比如企业租户希望用内部的AD、身份平台管理用户，不需要你方维护租户下的用户账号），适配流程如下：

1. 你方作为服务提供商（SP），预先为每个接入的租户配置其对应的身份提供商（IdP）元数据
2. 用户发起API访问请求时，你方返回对应租户的IdP认证地址，由调用方引导用户在租户IdP完成身份认证
3. 租户IdP返回带签名的SAML断言，断言中包含租户ID、用户ID、用户权限等信息
4. 你方校验SAML断言的签名和有效性后，提取身份信息生成短生命周期的API访问令牌返回给调用方
   SAML也可以实现租户、用户两级身份识别，且支持租户完全托管身份体系，适合中大型企业租户的订阅场景。

内容的提问来源于stack exchange，提问作者Kumar