OAuth2 এবং JWT এর মাধ্যমে অথেন্টিকেশন (Authentication with OAuth2 and JWT)
OAuth2 (Open Authorization 2.0) এবং JWT (JSON Web Token) দুটি অত্যন্ত গুরুত্বপূর্ণ প্রযুক্তি যা আধুনিক ওয়েব অ্যাপ্লিকেশন এবং মাইক্রোসার্ভিস আর্কিটেকচারে অথেন্টিকেশন এবং অথোরাইজেশন ব্যবস্থাপনায় ব্যবহৃত হয়। OAuth2 একটি অথোরাইজেশন ফ্রেমওয়ার্ক, যা নিরাপদভাবে রিসোর্স অ্যাক্সেস করতে সাহায্য করে, এবং JWT হলো একটি টোকেন ভিত্তিক অথেন্টিকেশন পদ্ধতি যা সার্ভিসের মধ্যে নিরাপদ তথ্য আদান-প্রদান করতে ব্যবহৃত হয়।
এই দুটি প্যাটার্ন একসাথে ব্যবহৃত হলে, সিস্টেমের নিরাপত্তা এবং স্কেলেবিলিটি নিশ্চিত করা যায়। নিচে OAuth2 এবং JWT-এর মাধ্যমে অথেন্টিকেশন ব্যবস্থাপনার একটি বিস্তারিত বর্ণনা দেওয়া হলো।
১. OAuth2 (Open Authorization 2.0)
OAuth2 একটি অথোরাইজেশন ফ্রেমওয়ার্ক যা কোনো অ্যাপ্লিকেশনকে অন্য একটি অ্যাপ্লিকেশনের রিসোর্স (যেমন, ডেটাবেস, API ইত্যাদি) নিরাপদভাবে অ্যাক্সেস করতে দেয়, তবে তা ক্লায়েন্টের ইউজারনেম এবং পাসওয়ার্ড শেয়ার করার প্রয়োজন ছাড়া।
OAuth2 তিনটি প্রধান ভূমিকা বা রোল নিয়ে কাজ করে:
- Resource Owner (রিসোর্স মালিক): ইউজার বা অ্যাকাউন্ট যার রিসোর্স অ্যাক্সেস করতে চায়।
- Client (ক্লায়েন্ট): অ্যাপ্লিকেশন বা সিস্টেম যা রিসোর্স অ্যাক্সেস করতে চায়।
- Authorization Server (অথোরাইজেশন সার্ভার): সার্ভিস বা সিস্টেম যা ইউজারকে অথেন্টিকেট করে এবং টোকেন প্রদান করে।
- Resource Server (রিসোর্স সার্ভার): সার্ভিস বা API যা রিসোর্স সংরক্ষণ করে এবং ক্লায়েন্টকে অ্যাক্সেস দিতে সক্ষম হয় যদি সে একটি বৈধ টোকেন সরবরাহ করে।
OAuth2-এর প্রক্রিয়া:
- Authorization Request: ক্লায়েন্ট অ্যাপ্লিকেশন ইউজারকে অথোরাইজেশন সার্ভারে রিডাইরেক্ট করে যাতে ইউজার তার অনুমতি প্রদান করতে পারে।
- Authorization Grant: ইউজার যখন অনুমতি দেয়, তখন অথোরাইজেশন সার্ভার একটি Authorization Code প্রদান করে।
- Access Token Request: ক্লায়েন্ট Authorization Code নিয়ে অথোরাইজেশন সার্ভারে একটি রিকোয়েস্ট পাঠায়, যাতে একটি Access Token পাওয়া যায়।
- Access Token: Access Token হলো একটি টোকেন যা ক্লায়েন্টকে রিসোর্স সার্ভারে রিসোর্স অ্যাক্সেস করতে দেয়।
- Resource Access: ক্লায়েন্ট এই টোকেন ব্যবহার করে রিসোর্স সার্ভারের সাথে যোগাযোগ করে এবং রিসোর্স অ্যাক্সেস করতে পারে।
OAuth2 এর উপকারিতা:
- নিরাপদ অথোরাইজেশন: ইউজারের পাসওয়ার্ড শেয়ার না করেই রিসোর্স অ্যাক্সেস সম্ভব।
- স্কেলেবিলিটি: বিভিন্ন সার্ভিসের মধ্যে অ্যাক্সেস সহজে পরিচালিত হয়।
- থার্ড-পার্টি অ্যাপ্লিকেশন সাপোর্ট: OAuth2 থার্ড-পার্টি অ্যাপ্লিকেশনগুলিকে রিসোর্স অ্যাক্সেসের অনুমতি দেয়।
২. JWT (JSON Web Token)
JWT একটি ওপেন স্ট্যান্ডার্ড (RFC 7519) যা JSON অবজেক্ট ব্যবহার করে তথ্য আদান-প্রদান করে, এবং এটি সার্ভিসের মধ্যে নিরাপদভাবে অথেন্টিকেশন ও অথোরাইজেশন তথ্য স্টোর এবং ট্রান্সফার করতে ব্যবহৃত হয়। এটি টোকেন ভিত্তিক অথেন্টিকেশন ব্যবস্থার জন্য একটি জনপ্রিয় পদ্ধতি।
JWT এর স্ট্রাকচার:
JWT তিনটি অংশ নিয়ে গঠিত:
- Header: এটি টোকেনের প্রকার এবং সিগনেচারের অ্যালগোরিদম সম্পর্কে তথ্য ধারণ করে। সাধারণত এটি
"alg"(অ্যালগোরিদম) এবং"typ"(টাইপ) ক্ষেত্র থাকে। - Payload: এটি টোকেনের মধ্যে তথ্য বা claims ধারণ করে। Claims হল তথ্য যা প্রমাণিত বা নির্দিষ্ট করা হয় (যেমন, ইউজারের আইডি, রোল, অনুমতি ইত্যাদি)।
- Signature: এটি টোকেনের নিরাপত্তা নিশ্চিত করতে ব্যবহৃত হয়। এটি Header এবং Payload এর একটি হ্যাশ দ্বারা তৈরি হয় এবং এটি একটি সিক্রেট কী ব্যবহার করে সিগনেচার তৈরি করা হয়, যাতে টোকেনের অখণ্ডতা নিশ্চিত থাকে।
JWT এর কাজের প্রক্রিয়া:
- Authentication: ইউজার প্রথমে সার্ভারে লগইন করে। সার্ভার ইউজারের পরিচয় নিশ্চিত করার পরে, একটি JWT টোকেন তৈরি করে এবং ক্লায়েন্টকে পাঠায়।
- Token Usage: ক্লায়েন্ট পরবর্তীতে API রিকোয়েস্টে JWT টোকেনটি প্রদান করে (যেমন, Authorization হেডারে), এবং সার্ভার এই টোকেনটি যাচাই করে ইউজারের অথোরাইজেশন নিশ্চিত করে।
- Token Verification: সার্ভার JWT টোকেনের সিগনেচার যাচাই করে এবং যদি টোকেন বৈধ হয়, তবে রিসোর্স অ্যাক্সেস প্রদান করে।
JWT এর উপকারিতা:
- স্টেটলেস: JWT-তে সমস্ত তথ্য অন্তর্ভুক্ত থাকে, ফলে সার্ভারে স্টেট বা সেশন সংরক্ষণ করার প্রয়োজন হয় না।
- সহজ ব্যবস্থাপনা: JWT ব্যবহার করে মাইক্রোসার্ভিসে যোগাযোগ সহজ হয়, কারণ প্রতিটি সার্ভিস JWT টোকেন যাচাই করতে সক্ষম হয়।
- নিরাপত্তা: JWT টোকেন হ্যাশ এবং সিগনেচার দ্বারা সুরক্ষিত থাকে, যার ফলে এটি সহজেই ভ্যালিডেট করা যায়।
OAuth2 এবং JWT এর সংযোগ
OAuth2 এবং JWT একসাথে ব্যবহৃত হলে, OAuth2 সার্ভিস অ্যাক্সেসের জন্য অথোরাইজেশন ফ্রেমওয়ার্ক প্রদান করে, এবং JWT সেই অথোরাইজেশন টোকেন হিসেবে কাজ করে যা নিরাপদভাবে সিস্টেমের মধ্যে রিসোর্স অ্যাক্সেস নিশ্চিত করে।
প্রক্রিয়া:
- OAuth2 Authorization Flow: ইউজার প্রথমে OAuth2 ব্যবহার করে সিস্টেমে লগইন করে, এবং অথোরাইজেশন কোড লাভ করে।
- Access Token (JWT): OAuth2 Authorization Server তখন একটি JWT টোকেন প্রদান করে, যা ইউজারের অ্যাক্সেস অনুমতি অন্তর্ভুক্ত করে।
- Resource Access: ক্লায়েন্ট এই JWT টোকেন সহ সার্ভিসের সাথে যোগাযোগ করে, এবং সার্ভার এটি যাচাই করে ইউজারকে সঠিক রিসোর্স অ্যাক্সেস প্রদান করে।
সারসংক্ষেপ
OAuth2 এবং JWT মাইক্রোসার্ভিস আর্কিটেকচারে আধুনিক অথেন্টিকেশন এবং অথোরাইজেশন ব্যবস্থার মূল ভিত্তি। OAuth2 ব্যবহার করে একটি অ্যাপ্লিকেশন অথবা সার্ভিসের রিসোর্স অ্যাক্সেসের জন্য অনুমতি পাওয়া যায়, এবং JWT সেই অনুমতির তথ্য সুরক্ষিতভাবে প্রদান করে। একসাথে ব্যবহৃত হলে, OAuth2 নিরাপদ অথোরাইজেশন প্রদান করে, এবং JWT টোকেনের মাধ্যমে ডিস্ট্রিবিউটেড সিস্টেমের মধ্যে নিরাপদ এবং স্টেটলেস অথেন্টিকেশন করা সম্ভব হয়।
Read more
