Oauth多租戶：應該爲每個用戶或租戶生成訪問令牌嗎？

Question

我們有一個在多租戶計劃上運行的平臺。因此，我們將Tenant作爲父項，並將用戶作爲子項目。我們正在使用Oauth身份驗證方案在該平臺上開發Rest API（我們現在擁有SOAP服務）。

我很想知道我們如何在第三方開發的每個應用程序上生成訪問令牌。是每個用戶還是每個租戶？我的意思是，如果User2授予對Tenant1上App-A的訪問權限，那麼這是否意味着如果User1希望使用App-A，那麼授予訪問對話權限時不會提示他？兩個用戶都居住在同一個租戶上。

Answer 1

這取決於您的特定用例，但我會將其與輸入的憑據綁定。因此，如果用戶1和用戶2與他們自己的登錄名/密碼（或其他）有不同的賬戶，那麼他們應該擁有自己的訪問令牌。原因是每個用戶使用的應用程序實例需要以訪問令牌結束 - 因此在您的示例中，User2必須通過oAuth舞蹈。

另一方面，更一般的原因是，它可以保護你的未來，也許你最終會給不同的用戶不同的權利。

希望有所幫助。