Um cliente faz uma solicitação para algum recurso protegido sem autorização. O API Gateway o rejeita e redireciona o usuário ao Authorization Server para se autorizar no sistema, obter todas as concessões necessárias e, em seguida, fazer a solicitação novamente com essas concessões para receber informações desse recurso protegido.