Asegurando una API de descanso con un cliente

Por experiencia personal, podría ser más sencillo implementar una clave con una clave que solo le emita a un usuario, en lugar de usar el método de autenticación de nombre de usuario / contraseña, aparte de eso, no estoy seguro de qué otra cosa tendría preocuparse por. Tal vez haya una forma de combinar ambas formas, pero las API suelen estar configuradas para que múltiples clientes puedan aprovechar la funcionalidad, por lo que una clave podría ser la forma más sencilla de restringirla a un solo usuario.

Puede utilizar la autenticación X.509 y confiar en la autenticación mutua (el servidor lo autentica a usted y usted al servidor).

A pesar de que esta pregunta ha sido respondida, el flujo de credenciales de OpenID Connect Client es una manera perfecta de asegurar su API con una clave. Este flujo está dirigido específicamente a clientes que no son realmente usuarios, como las API y otros procesos del sistema, y no requiere la intervención del usuario. Esto le permite expandirse fácilmente a más clientes, cada uno con sus propias claves y permisos de acceso únicos, así como también permitirle mezclar usuarios humanos normales cuando sea necesario.