인증 서버

서비스의 사용자들을 각 서비스에서 인증하는 것이 아니라 별도의 서버에서 하게 하려고 만든 것이 OAuth 서버이다.

OAuth 서버에서 '인증'을 담당함으로써 인증에 대한 일은 이 서버에 위임하게 된다. 따라서 구글, 페이스북, 애플 등에서 제공하는 통합 로그인도 가능하다. 즉 사용자의 비밀번호를 요구하지 않고도 다른 사이트나 어플리케이션에서 해당 계정을 통해 접근이 가능해진다.

토큰만 제공받으면 인증되었다는 것으로 알고 진행하게 된다. 토큰은 만료되기 전까지 사용가능하며 아이디, 비밀번호를 직접 교환하지 않아도 되어서 신뢰하지 않는 서비스에 사용하기 좋다.

인증 서버가 토큰을 발급해주기 전에 진행되는 과정을 Authorization Grant라고 한다. 이 인가 코드 방식에는 4가지가 있다.

1. 인가 코드 승인 (Authorization code)
2. 암시적 승인 (Implicit)
3. 자원 소유자 패스워드 승인 (Resource Owner Password)
4. 클라이언트 인증 정보 승인 (Client Credentials)