Autorisierung
Festlegen, was ein bereits authentifizierter Nutzer tun darf.
"Darf Anna diese Datei löschen?" "Darf dieser Dienst jenes API aufrufen?" Umgesetzt über RBAC, ABAC, ACLs oder Policy-Engines (OPA, Cedar). Häufiger Bug: die Prüfung auf dem Server vergessen — "clientseitige Autorisierung" ist kaputt.