Estava pesquisando sobre segurança em APIs REST e encontrei os termos refresh tokens, access tokens e grant type se referindo a forma como os tokens funcionam e como o cliente solicita os recursos
O que são e quais as suas diferenças?
Access Tokens - É um tipo de credencial que você pode utilizar para dar permissão a sistemas externos interagirem com a sua aplicação. Como você bem citou por exemplo, seu conjunto de APIs Rest só poderiam ser consumidas por meio de um identificador que você mesmo oferece para seus sistemas parceiros. Esse ID é o Access Token. Um exemplo prático disso, é quando você precisa consumir alguma API do Google/Facebbok.
Refresh Tokens - Ocasionalmente, você pode querer verificar de tempos em tempos o ID (Access Token) que aquele sistema que está consumindo a sua API possui. Pode ser por motivos de segurança, monetização da sua API ou mesmo a frequência de uso da api. Funciona da seguinte forma: Você dá para o seu parceiros 2 chaves: 1) O Access Token (com tempo de vida curto) e 2) O Refresh Token (Usado para pegar um novo Access Token). Dessa forma, quando o seu parceiro requisitar a sua aplicação, ele envia essas 2 chaves e o seu sistema verifica se o Access Token está expirado. Caso esteja, você gera um novo Access Token usando o Refresh Token que o parceiro lhe enviou.
Grant Types - Quando você ouvir esse termo, referece-se as maneiras que um sistema externo possui para obter acesso a um Access Token para consumo da sua API. Podendo ser eles:
Todos esses conceitos da sua pergunta, fazem parte da especificação do OAuth 2.0 e você pode obter mais detalhes aqui (OAuth 2.0 Docs) e aqui (OAuth 2.0 Workflow Vídeo).
Access tokens são credenciais usadas para acessar recursos protegidos.
Refresh tokens são credenciais usadas para obter um novo acess token.
Grant type é usado quando o cliente quer receber access token sem transmitir informações importantes, como o client secret.