Käyttöoikeuksien hallinta NestJS API:ssa

Abstract

Opinnäytetyön tavoitteena oli toteuttaa helposti laajennettava ja ylläpidettävä käyttöoikeuksien hallintaratkaisu NestJS-sovellukseen, joka noudattaa tärkeimpiä Zero Trust -arkkitehtuurin periaatteita. Työn tarkoituksena oli selvittää, miten käyttöoikeuksien tarkistus voidaan toteuttaa hyödyntämällä JWT-tunnisteita ja NestJS:n tarjoamia ominaisuuksia siten, että ratkaisu tukee modulaarista sovelluskehitystä.

Työssä tutustuttiin pääsynhallinnan keskeisiin käsitteisiin ja menetelmiin, kuten autentikointiin ja autorisointiin, sekä erilaisiin käyttöoikeuksien hallintamalleihin. Teoreettista pohjaa sovellettiin käytännön toteutuksessa, jossa luotiin esimerkkiratkaisu käyttöoikeuksien hallinnasta NestJS-sovelluksessa. Ratkaisu toteutettiin modulaarisesti hyödyntäen NestJS:n middlewareja, guardeja ja dekoraattoreita.

Työssä toteutettu käyttöoikeuksien hallintaratkaisu osoittautui toimivaksi ja selkeäksi tavaksi hallita käyttäjien oikeuksia NestJS-sovelluksessa. Ratkaisu noudattaa tärkeimpiä Zero Trust -ajattelun periaatteita ja tarkistaa jokaisen sovellukseen tulevan pyynnön JWT-tunnisteeseen tallennettujen käyttäjätietojen avulla. Ratkaisu myös noudattaa mallia, jossa jokainen pyyntö oletusarvoisesti hylätään, jos sen suorittamiseen vaadittuja käyttöoikeuksia ei ole määritelty. Toteutus hyödyntää tehokkaasti NestJS:n ominaisuuksia ja osoittautui hyvin moderniin web-sovelluskehitykseen sopivaksi ja helposti laajennettavaksi ratkaisuksi, joka tarjoaa hyvän pohjan jatkokehitykselle.

The purpose of the thesis was to implement a maintainable access control solution for a NestJS REST API that supports straightforward future development. The objective was to find out how authorisation can be implemented using JSON Web Tokens and by leveraging modular architecture provided by NestJS.

The thesis examined the basic concepts of access control, including authentication and authorisation. Based on the theoretical foundation, an example implementation was created in order to demonstrate how authorisation can be implemented in a NestJS application, using its built-in features.

The implemented example solution proved to be an efficient and clear way to manage authorisation in a NestJS REST API. The solution follows the key Zero Trust architecture principles, such as least privilege and deny-by-default. The modular architecture of NestJS provides an excellent basis for future development and expansion of the authorisation features.