Ory Oathkeeper ist ein quelloffener Identity-and-Access-Proxy und eine Entscheidungs-API für die Zugriffskontrolle, geschrieben in Go. Er authentifiziert, autorisiert und verändert eingehende HTTP-Anfragen anhand von Zugriffsregeln nach einem Zero-Trust-Modell. Zu den Authenticators gehören Cookie-Sessions, Bearer-Tokens, OAuth2-Introspection und JWT; für feingranulare Berechtigungen kann Ory Keto eingebunden werden; Mutators können Header ergänzen, Cookies setzen oder signierte ID-Tokens ausstellen. Oathkeeper läuft als Reverse-Proxy oder als Entscheidungs-API, die Gateways wie Nginx, Envoy, Kong und AWS API Gateway abfragen. Eine Datenbank ist nicht nötig, da die Regeln aus Dateien oder HTTP-Endpunkten geladen werden.
Oathkeeper steht unter der Apache-2.0-Lizenz und kann auf eigener Infrastruktur betrieben werden, sodass Sie selbst bestimmen, wo es läuft. Zusätzlich bietet Ory eine Ory Enterprise License für selbst gehosteten oder On-Premises-Betrieb mit Support und Sicherheitspatches sowie das verwaltete Ory Network an. Im Ory Network wählen Sie beim Anlegen eines Projekts den Speicherort für personenbezogene Daten; die Daten von EU-Nutzern liegen auf Servern in der EU, während operative Daten wie die Gültigkeit von Sessions und Tokens weltweit repliziert werden.