Zugriffstoken (Access Token)

Was ist ein Zugriffstoken?

Ein Zugriffstoken (Access Token) ist ein Berechtigungsnachweis, den ein OAuth-2.0-Client einer API vorlegt, um auf geschützte Ressourcen zuzugreifen. Es steht für eine konkrete Autorisierung: welche Scopes erteilt wurden, an welche Anwendung und für wie lange. Der Autorisierungsserver stellt es aus, nachdem eine Person oder ein Admin zugestimmt hat. Das Token kann eine opake Zeichenkette oder ein JSON Web Token sein und ist meist kurzlebig.

Das Wichtigste in Kürze

• Ein Zugriffstoken steht für eine Autorisierung, die einer Client-Anwendung erteilt wurde, begrenzt auf bestimmte Scopes und eine bestimmte Zugriffsdauer.
• Ein Zugriffstoken ist für die API bestimmt, die die Ressourcen hält, während ein OpenID-Connect-ID-Token der Anwendung nur sagt, wer sich angemeldet hat.
• Die Scopes eines Zugriffstokens legen fest, was eine Drittanwendung darf, im Rahmen des zustimmenden Kontos und unabhängig von der Position dieser Person.
• Ein Zugriffstoken läuft meist schnell ab, daher hält eine Anwendung mit dauerhaftem Zugriff ein Refresh Token, um neue Zugriffstoken anzufordern.

So funktioniert ein Zugriffstoken

• Zustimmung: Die Person, oder ein Admin für die ganze Organisation, genehmigt die Scopes, die eine Client-Anwendung anfragt, etwa Kalender lesen oder E-Mails senden.
• Ausstellung: Der Autorisierungsserver gibt der Anwendung ein Zugriffstoken zurück, zusammen mit der Laufzeit und den tatsächlich erteilten Scopes.
• Vorlage: Die Anwendung sendet das Token mit jedem API-Aufruf, meist im Authorization-Header mit dem in RFC 6750 definierten Bearer-Schema.
• Prüfung: Die API prüft das Token, entweder lokal über Signatur, Aussteller, Zielgruppe und Ablaufzeit eines JWT oder bei einem opaken Token durch eine Rückfrage beim Autorisierungsserver.
• Ablauf: Nach Ablauf lehnt die API das Token ab, und die Anwendung muss ein neues beschaffen.

Zugriffstoken oder ID Token: Welches gehört an die API?

OpenID Connect ergänzt den OAuth-Ablauf um ein ID Token, und beide werden oft verwechselt, weil beide JWTs sein können. Das ID Token richtet sich an die Client-Anwendung: Es belegt, wer sich wann angemeldet hat, damit die Anwendung eine Sitzung öffnen kann. Das Zugriffstoken richtet sich an die API: Es trägt die Autorisierung, nicht die Identität. Ein ID Token an eine API zu senden oder die Identität aus einem Zugriffstoken zu lesen, das der Client als opak behandeln sollte, sind zwei typische Integrationsfehler.

RFC 6749, veröffentlicht im Oktober 2012, beschreibt Zugriffstoken als Nachweise, die bestimmte Scopes und Zugriffsdauern repräsentieren. Für die Governance ist das die entscheidende Definition: Die Berechtigung einer Drittanwendung ist die Menge der Scopes in ihrem Token. Eine Nachwuchskraft kann Lesezugriff auf ihr gesamtes Postfach und Laufwerk erteilen, ein Admin organisationsweite Scopes. Mit Blick auf die DSGVO zeigen diese Scopes auch, auf welche personenbezogenen Daten die Drittanwendung zugreift.

Beispiele und Anwendungsfälle

Ein Beratungsunternehmen mit 300 Mitarbeitenden arbeitet mit Google Workspace. Eine Vertriebsleiterin meldet sich mit ihrem Google-Konto bei einem KI-Notiztool an und erlaubt ihm, ihren Kalender und ihr Postfach zu lesen und zu verwalten. Das Tool hält nun Zugriffstoken mit diesen Scopes und ruft in ihrem Namen die Google-APIs auf. Ihre Position, ihr Team oder ihre Betriebszugehörigkeit spielen keine Rolle: Die Scopes entscheiden, was das Tool lesen kann.

Die SaaS-Erkennung von Corma bringt solche Tools ins Inventar, mit Nutzern, verantwortlicher Person und Kosten, als Teil der Transparenz über Schatten-IT und Shadow AI. Access Reviews fordern dann die verantwortliche Person jeder Anwendung auf zu bestätigen, wer den Zugriff behalten soll, während die Scopes selbst in der Admin-Konsole von Google Workspace geprüft und entzogen werden.

Verwandte Begriffe

• OAuth 2.0
• JSON Web Token (JWT)
• OpenID Connect (OIDC)
• Single Sign-On (SSO)
• Secrets Management
• Identity-and-Access-Management-Plattform von Corma

FAQ

Ist ein Zugriffstoken dasselbe wie ein API-Schlüssel?

Nein. Ein Zugriffstoken stellt ein Autorisierungsserver für bestimmte Scopes und eine begrenzte Zeit aus. Ein API-Schlüssel ist ein statisches Geheimnis, einmal erstellt und gültig bis zum Widerruf.

Wie lange ist ein Zugriffstoken gültig?

Das legt der Autorisierungsserver bei der Ausstellung fest. Zugriffstoken sind meist kurzlebig, neue erhält die Anwendung über ein Refresh Token.

Ist ein Zugriffstoken ein JWT?

Manchmal. Viele Autorisierungsserver stellen Zugriffstoken als JWT aus, andere als opake Zeichenketten, die nur der Server auswerten kann.

Kann man ein Zugriffstoken widerrufen?

Ja, wenn der Autorisierungsserver den Widerruf unterstützt und die API ihn prüft. Ein eigenständiges JWT bleibt meist bis zum Ablauf gültig, ein Grund, warum Zugriffstoken kurzlebig sind.

Demo anfragen