Autenticação REST

Estou iniciando o desenvolvimento de um aplicativo Rails que vai se comunicar com o Android tbm, e gostaria de um esclarecimento.
Para controle de sessão uso o Devise, ou poderia até usar o session[:bla_bla] sem problemas nenhum, isso quando a requisição vir de um browser.
Mas quero que esse controller responda não só para uma view, e sim para outros serviços, seguindo a proposta do REST, então como fazer, nesse caso, a autenticação de um requisição que virá de outro sistema?

Varias opções:
1- O serviço REST deve autenticar e autorizar a cada Http Request enviado pelo cliente. As credencias devem vir dentro do protocolo HTTP usando SSL.
2- Usar serviços de autenticação publico como Kerberos, OpenID, etc.