proto.lib

OAuth Scopes & Consent Screen

Ứng dụng bên thứ ba yêu cầu các scope cụ thể, Authorization Server hiển thị màn hình consent để người dùng chấp thuận từng quyền trước khi cấp access token.

SecurityCơ bản2026-07-08
OAuth Scopes & Consent Screen

Tags

#oauth2#scopes#consent#authorization-server#least-privilege

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Cấp quyền cho AI Agent: Delegated Scope thay vì Admin Token

Một agent hành động thay mặt user phải mang một credential được uỷ quyền (delegated), phạm vi hẹp và sống ngắn — không phải token admin của cả dịch vụ — để việc agent được làm gì luôn bị giới hạn bởi những gì chính user đó được phép làm, trừ đi phần đã loại trừ khi uỷ quyền.

#authorization#ai-agent#delegated-credential#least-privilege
SecurityNâng cao

Just-In-Time Privileged Access (JIT)

Thay vì giữ quyền admin production suốt ngày (standing privilege), người dùng phải request → được approve → được cấp quyền TIME-BOXED tự hết hạn, kèm lý do, audit record và ghi lại phiên làm việc (session recording) cho tầng nhạy cảm.

#jit-access#privileged-access#least-privilege#break-glass
SecurityTrung bình

Thứ tự đánh giá IAM Policy (deny-by-default)

Khi một lời gọi API được xác thực, evaluator gom identity policy, resource policy, permission boundary và guardrail cấp tổ chức (SCP) lại rồi áp logic deny-by-default: một EXPLICIT DENY ở bất kỳ tầng nào cũng thắng tuyệt đối, allow phải đến từ cả hai phía (identity và resource khi cross-account), còn boundary chỉ có thể thu hẹp chứ không cấp thêm quyền.

#iam#aws#policy-evaluation#deny-by-default