Criterio OAuthV2

Stai visualizzando la documentazione di Apigee Edge.
Consulta la documentazione di Apigee X. info

Cosa

OAuthV2 è una policy sfaccettata per l'esecuzione di operazioni di tipo di concessione OAuth 2.0. Questi sono i criteri principali utilizzati per configurare gli endpoint OAuth 2.0 su Apigee Edge.

Suggerimento:se vuoi saperne di più su OAuth su Apigee Edge, consulta la home page di OAuth. Fornisce link a risorse, esempi, video e altro ancora. Per una buona dimostrazione di come viene utilizzata questa norma in un'applicazione funzionante, consulta l'esempio OAuth avanzato su GitHub.

Campioni

<OAuthV2 async="false" continueOnError="false" enabled="true" name="OAuth-v20-2">
    <DisplayName>OAuth v2.0 2</DisplayName>
    <Operation>VerifyAccessToken</Operation>
    <AccessTokenPrefix>Bearer</AccessTokenPrefix> <!-- Optional, default is Bearer -->
</OAuthV2>

$ curl -H "Authorization: Bearer ylSkZIjbdWybfsUQe9BqP0LH5Z" http://{org_name}-test.apigee.net/weather/forecastrss?w=12797282

<OAuthV2 enabled="true" continueOnError="false" async="false" name="generateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <AppEndUser>Doe</AppEndUser>
    <UserName>jdoe</UserName>
    <PassWord>jdoe</PassWord>
    <GrantType>grant_type</GrantType>
    <ClientId>a_valid_client_id</ClientId>
    <SupportedGrantTypes>
        <GrantType>password</GrantType>
    </SupportedGrantTypes>
</OAuthV2>

var client_id = context.getVariable("local_clientid");
var client_secret = context.getVariable("local_secret");
context.setVariable("request.header.Authorization","Basic "+CryptoJS.enc.Base64.stringify(CryptoJS.enc.Latin1
                                      .parse(client_id + ':' + client_secret)));

Vedi anche "Codifica delle credenziali di autenticazione di base".

Riferimento elemento

Il riferimento ai criteri descrive gli elementi e gli attributi dei criteri OAuthV2.

Il criterio di esempio mostrato di seguito è una delle tante configurazioni possibili. Questo esempio mostra un criterio OAuthV2 configurato per l'operazione GenerateAccessToken. Include elementi obbligatori e facoltativi. Per i dettagli, consulta le descrizioni degli elementi in questa sezione.

<OAuthV2 name="GenerateAccessToken">
  <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
  <Operation>GenerateAccessToken</Operation>
  <!-- This is in millseconds, so expire in an hour -->
  <ExpiresIn>3600000</ExpiresIn>
  <SupportedGrantTypes>
    <GrantType>client_credentials</GrantType>
  </SupportedGrantTypes>
  <GrantType>request.queryparam.grant_type</GrantType>
  <GenerateResponse/>
</OAuthV2>

Attributi <OAuthV2>

<OAuthV2 async="false" continueOnError="false" enabled="true" name="MyOAuthPolicy">

La tabella seguente descrive gli attributi comuni a tutti gli elementi principali del criterio:

&lt;DisplayName&gt; elemento

Da utilizzare in aggiunta all'attributo name per etichettare il criterio in editor proxy della UI di gestione con un nome diverso e in linguaggio naturale.

<DisplayName>Policy Display Name</DisplayName>

Elemento <AccessToken>

<AccessToken>request.header.access_token</AccessToken>

Per impostazione predefinita, VerifyAccessToken prevede che il token di accesso venga inviato nell'intestazione Authorization. Puoi modificare l'impostazione predefinita utilizzando questo elemento. Ad esempio, request.queryparam.access_token indica che il token di accesso deve essere presente come parametro di query denominato access_token.

curl https://myorg-myenv.apigee.net/oauth2/validate -H "access_token:Rft3dqrs56Blirls56a"

curl "https://myorg-myenv.apigee.net/oauth2/validate?access_token:Rft3dqrs56Blirls56a"

Elemento <AccessTokenPrefix>

<AccessTokenPrefix>Bearer</AccessTokenPrefix>

Per impostazione predefinita, VerifyAccessToken prevede che il token di accesso venga inviato in un'intestazione di autorizzazione come token Bearer. Ad esempio:

-H "Authorization: Bearer Rft3dqrs56Blirls56a"

Al momento, Bearer è l'unico prefisso supportato.

Elemento <AppEndUser>

<AppEndUser>request.queryparam.app_enduser</AppEndUser>

Nei casi in cui l'ID utente finale dell'app deve essere inviato al server di autorizzazione, questo elemento consente di specificare dove Edge deve cercare l'ID utente finale. Ad esempio, potrebbe essere inviato come parametro di query o in un'intestazione HTTP.

Ad esempio, request.queryparam.app_enduser indica che AppEndUser deve essere presente come parametro di query, ad esempio ?app_enduser=ntesla@theramin.com. Per richiedere AppEndUser in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.app_enduser.

Se fornisci questa impostazione, puoi includere un ID utente finale dell'app nel token di accesso. Questa funzionalità è utile se vuoi poter recuperare o revocare i token di accesso OAuth 2.0 in base all'ID utente finale. Per saperne di più, consulta Abilitare il recupero e la revoca dei token di accesso OAuth 2.0 per ID utente finale, ID app o entrambi.

<Attributes/Attribute>

<Attributes>
    <Attribute name="attr_name1" ref="flow.variable" display="true|false">value1</Attribute>
    <Attribute name="attr_name2" ref="flow.variable" display="true|false">value2</Attribute>
</Attributes>

Utilizza questo elemento per aggiungere attributi personalizzati a un token di accesso o a un codice di autorizzazione. Ad esempio, potresti voler incorporare un ID utente o un identificatore di sessione in un token di accesso che può essere estratto e controllato in fase di runtime.

Questo elemento ti consente di specificare un valore in una variabile di flusso o da una stringa letterale. Se specifichi sia una variabile che una stringa, viene utilizzato il valore specificato nella variabile di flusso. Se la variabile non può essere risolta, la stringa è quella predefinita.

Per saperne di più sull'utilizzo di questo elemento, consulta Personalizzazione dei token e dei codici di autorizzazione.

Visualizzazione o nascondimento degli attributi personalizzati nella risposta

Tieni presente che se imposti l'elemento GenerateResponse di questo criterio su true, nella risposta viene restituita la rappresentazione JSON completa del token, inclusi gli attributi personalizzati che hai impostato. In alcuni casi, potresti voler nascondere alcuni o tutti gli attributi personalizzati nella risposta in modo che non siano visibili alle app client.

Per impostazione predefinita, gli attributi personalizzati vengono visualizzati nella risposta. Se vuoi nasconderli, puoi impostare il parametro display su false. Ad esempio:

<Attributes>
    <Attribute name="employee_id" ref="employee.id" display="false"/>
    <Attribute name="employee_name" ref="employee.name" display="false"/>
</Attributes>

Il valore dell'attributo display non viene memorizzato. Supponiamo di generare un token di accesso con attributi personalizzati che vuoi nascondere nella risposta generata. L'impostazione display=false consente di raggiungere questo obiettivo. Tuttavia, se in un secondo momento viene generato un nuovo token di accesso utilizzando un token di aggiornamento, gli attributi personalizzati originali del token di accesso verranno visualizzati nella risposta del token di aggiornamento. Questo perché Edge non ricorda che l'attributo display era originariamente impostato su false nel criterio Genera token di accesso. L'attributo personalizzato fa semplicemente parte dei metadati del token di accesso.

Vedrai lo stesso comportamento se aggiungi attributi personalizzati a un codice di autorizzazione: quando viene generato un token di accesso utilizzando quel codice, questi attributi personalizzati vengono visualizzati nella risposta del token di accesso. Anche in questo caso, potrebbe non essere il comportamento che intendi.

Per nascondere gli attributi personalizzati in questi casi, hai a disposizione le seguenti opzioni:

• Reimposta esplicitamente gli attributi personalizzati nella policy dei token di aggiornamento e imposta la loro visualizzazione su false. In questo caso, potrebbe essere necessario recuperare i valori personalizzati originali dal token di accesso originale utilizzando il criterio GetOAuthV2Info.
• Utilizza un criterio JavaScript di post-elaborazione per estrarre manualmente gli attributi personalizzati che non vuoi visualizzare nella risposta.

Vedi anche Personalizzazione di token e codici di autorizzazione.

Elemento <ClientId>

<ClientId>request.formparam.client_id</ClientId>

In diversi casi, l'app client deve inviare l'ID client al server di autorizzazione. Questo elemento specifica che Apigee deve cercare l'ID client nella variabile di flusso request.formparam.client_id. L'impostazione di ClientId su qualsiasi altra variabile non è supportata. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <Code>

<Code>request.queryparam.code</Code>

Nel flusso del tipo di concessione di autorizzazione, il client deve inviare un codice di autorizzazione al server di autorizzazione (Apigee Edge). Questo elemento consente di specificare dove Edge deve cercare il codice di autorizzazione. Ad esempio, può essere inviato come parametro di query, intestazione HTTP o parametro del modulo (impostazione predefinita).

La variabile request.queryparam.auth_code indica che il codice di autorizzazione deve essere presente come parametro di query, ad esempio ?auth_code=AfGlvs9. Per richiedere il codice di autorizzazione in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.auth_code. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <ExpiresIn>

<ExpiresIn>10000</ExpiresIn>

Applica il tempo di scadenza dei token di accesso e dei codici di autorizzazione in millisecondi. (Per i token di aggiornamento, utilizza <RefreshTokenExpiresIn>.) Il valore della scadenza è un valore generato dal sistema più il valore <ExpiresIn>. Se <ExpiresIn> è impostato su -1, il token o il codice scade in base alla scadenza massima del token di accesso OAuth. Se <ExpiresIn> non è specificato, il sistema applica un valore predefinito configurato a livello di sistema.

Il tempo di scadenza può essere impostato anche in fase di runtime utilizzando un valore predefinito codificato o facendo riferimento a una variabile di flusso. Ad esempio, puoi memorizzare un valore di scadenza del token in una mappa chiave-valore, recuperarlo, assegnarlo a una variabile e farvi riferimento nel criterio. Ad esempio, kvm.oauth.expires_in.

Con Apigee Edge per Public Cloud, Edge mantiene le seguenti entità nella cache per un minimo di 180 secondi dopo l'accesso.

• Token di accesso OAuth. Ciò significa che un token revocato potrebbe comunque funzionare per un massimo di tre minuti, finché non scade il limite della cache.
• Entità Key Management Service (KMS) (app, sviluppatori, prodotti API).
• Attributi personalizzati su token OAuth ed entità KMS.

La seguente strofa specifica anche una variabile di flusso e un valore predefinito. Tieni presente che il valore della variabile di flusso ha la precedenza sul valore predefinito specificato.

<ExpiresIn ref="kvm.oauth.expires_in">
    3600000 <!--default value in milliseconds-->
</ExpiresIn>

Edge non supporta un modo per forzare la scadenza di un token dopo la sua creazione. Se devi forzare la scadenza del token (ad esempio, in base a una condizione), una possibile soluzione è descritta in questo post della community Apigee.

Per impostazione predefinita, i token di accesso scaduti vengono eliminati automaticamente dal sistema Apigee Edge 3 giorni dopo la scadenza. Vedi anche Eliminazione dei token di accesso

Private Cloud:per un'installazione di Edge per Private Cloud, il valore predefinito è impostato dalla proprietà conf_keymanagement_oauth_auth_code_expiry_time_in_millis. Per impostare questa proprietà:

1. Apri il file message-processor.properties in un editor. Se il file non esiste, crealo:

   vi /opt/apigee/customer/application/message-processor.properties

2. Imposta la proprietà come preferisci:

   conf_keymanagement_oauth_auth_code_expiry_time_in_millis=3600000

3. Assicurati che il file delle proprietà sia di proprietà dell'utente "apigee":

   chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

4. Riavvia il processore di messaggi.

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Elemento <ExternalAccessToken>

<ExternalAccessToken>request.queryparam.external_access_token</ExternalAccessToken>

Indica ad Apigee Edge dove trovare un token di accesso esterno (un token di accesso non generato da Apigee Edge).

La variabile request.queryparam.external_access_token indica che il token di accesso esterno deve essere presente come parametro di query, ad esempio ?external_access_token=12345678. Per richiedere il token di accesso esterno in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.external_access_token. Vedi anche Utilizzo di token OAuth di terze parti.

Elemento <ExternalAuthorization>

<ExternalAuthorization>true</ExternalAuthorization>

Se questo elemento è false o non è presente, Edge convalida client_id e client_secret normalmente rispetto all'archivio di autorizzazione Apigee Edge. Utilizza questo elemento quando vuoi lavorare con token OAuth di terze parti. Per informazioni dettagliate sull'utilizzo di questo elemento, vedi Utilizzo di token OAuth di terze parti.

Elemento <ExternalAuthorizationCode>

<ExternalAuthorizationCode>request.queryparam.external_auth_code</ExternalAuthorizationCode>

Indica ad Apigee Edge dove trovare un codice di autorizzazione esterno (un codice di autorizzazione non generato da Apigee Edge).

La variabile request.queryparam.external_auth_code indica che il codice di autorizzazione esterno deve essere presente come parametro di query, ad esempio ?external_auth_code=12345678. Per richiedere il codice di autenticazione esterno in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.external_auth_code. Vedi anche Utilizzo di token OAuth di terze parti.

Elemento <ExternalRefreshToken>

<ExternalRefreshToken>request.queryparam.external_refresh_token</ExternalRefreshToken>

Indica ad Apigee Edge dove trovare un token di aggiornamento esterno (un token di aggiornamento non generato da Apigee Edge).

La variabile request.queryparam.external_refresh_token indica che il token di aggiornamento esterno deve essere presente come parametro di query, ad esempio ?external_refresh_token=12345678. Per richiedere il token di aggiornamento esterno in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.external_refresh_token. Vedi anche Utilizzo di token OAuth di terze parti.

Elemento <GenerateResponse>

<GenerateResponse enabled='true'/>

Se impostata su true, la policy genera e restituisce una risposta. Ad esempio, per GenerateAccessToken, la risposta potrebbe essere simile a questa:

{
  "issued_at" : "1467841035013",
  "scope" : "read",
  "application_name" : "e31b8d06-d538-4f6b-9fe3-8796c11dc930",
  "refresh_token_issued_at" : "1467841035013",
  "status" : "approved",
  "refresh_token_status" : "approved",
  "api_product_list" : "[Product1, nhl_product]",
  "expires_in" : "1799",
  "developer.email" : "edward@slalom.org",
  "token_type" : "BearerToken",
  "refresh_token" : "rVSmm3QaNa0xBVFbUISz1NZI15akvgLJ",
  "client_id" : "Adfsdvoc7KX5Gezz9le745UEql5dDmj",
  "access_token" : "AnoHsh2oZ6EFWF4h0KrA0gC5og3a",
  "organization_name" : "cerruti",
  "refresh_token_expires_in" : "0",
  "refresh_count" : "0"
}

Se false, non viene inviata alcuna risposta. Viene invece compilato un insieme di variabili di flusso con valori correlati alla funzione del criterio. Ad esempio, una variabile di flusso chiamata oauthv2authcode.OAuthV2-GenerateAuthorizationCode.code viene compilata con il nuovo codice di autenticazione. Tieni presente che expires_in è espresso in secondi nella risposta.

Elemento <GenerateErrorResponse>

<GenerateErrorResponse enabled='true'/>

Se impostato su true, il criterio genera e restituisce una risposta se l'attributo ContinueOnError è impostato su true. Se false (il valore predefinito), non viene inviata alcuna risposta. Viene invece compilato un insieme di variabili di flusso con valori correlati alla funzione del criterio.

<GrantType>

<GrantType>request.queryparam.grant_type</GrantType>

Indica alla policy dove trovare il parametro del tipo di concessione passato in una richiesta. In base alla specifica OAuth 2.0, il tipo di concessione deve essere fornito con le richieste di token di accesso e codici di autorizzazione. La variabile può essere un'intestazione, un parametro di query o un parametro del modulo (impostazione predefinita).

Ad esempio, request.queryparam.grant_type indica che la password deve essere presente come parametro di query, ad esempio ?grant_type=password. Per richiedere il tipo di concessione in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.grant_type. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <Operation>

<Operation>GenerateAuthorizationCode</Operation>

L'operazione OAuth 2.0 eseguita dalla policy.

Elemento <PassWord>

<PassWord>request.queryparam.password</PassWord>

Questo elemento viene utilizzato solo con il tipo di autorizzazione password. Con il tipo di concessione della password, le credenziali utente (password e nome utente) devono essere rese disponibili per il criterio OAuthV2. Gli elementi <PassWord> e <UserName> vengono utilizzati per specificare le variabili in cui Edge può trovare questi valori. Se questi elementi non sono specificati, il criterio prevede di trovare i valori (per impostazione predefinita) nei parametri del modulo denominati username e password. Se i valori non vengono trovati, il criterio genera un errore. Puoi utilizzare gli elementi <PassWord> e <UserName> per fare riferimento a qualsiasi variabile di flusso contenente le credenziali.

Ad esempio, puoi trasmettere la password in una richiesta di token utilizzando un parametro di query e impostare l'elemento nel seguente modo: <PassWord>request.queryparam.password</PassWord>. Per richiedere la password in un'intestazione HTTP, imposta questo valore su request.header.password.

Il criterio OAuthV2 non esegue altre operazioni con questi valori delle credenziali; Edge verifica semplicemente che siano presenti. Spetta allo sviluppatore dell'API recuperare la richiesta di valori e inviarli a un provider di identità prima dell'esecuzione della policy di generazione dei token.

Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <RedirectUri>

<RedirectUri>request.queryparam.redirect_uri</RedirectUri>

Specifica dove Edge deve cercare il parametro redirect_uri nella richiesta.

Informazioni sugli URI di reindirizzamento

Gli URI di reindirizzamento vengono utilizzati con i tipi di autorizzazione codice e implicita. L'URI di reindirizzamento indica al server di autorizzazione (Edge) dove inviare un codice di autorizzazione (per il tipo di concessione del codice di autorizzazione) o un token di accesso (per il tipo di concessione implicita). È importante capire quando questo parametro è obbligatorio, quando è facoltativo e come viene utilizzato:

• (obbligatorio) Se un URL di callback è registrato con l'app per sviluppatori associata alle chiavi client della richiesta e se redirect_uri è presente nella richiesta, i due devono corrispondere esattamente. Se non corrispondono, viene restituito un errore. Per informazioni sulla registrazione delle app per sviluppatori su Edge e sulla specifica di un URL di callback, consulta Registrare app e gestire le chiavi API.

• (facoltativo) Se è registrato un URL di callback e redirect_uri non è presente nella richiesta, Edge reindirizza all'URL di callback registrato.
• (obbligatorio) Se non è registrato un URL di callback, è obbligatorio redirect_uri. Tieni presente che in questo caso Edge accetterà QUALSIASI URL. Questo caso può presentare un problema di sicurezza e pertanto deve essere utilizzato solo con app client attendibili. Se le app client non sono attendibili, la best practice consiste nel richiedere sempre la registrazione di un URL di callback.

Puoi inviare questo parametro in un parametro di query o in un'intestazione. La variabile request.queryparam.redirect_uri indica che RedirectUri deve essere presente come parametro di query, ad esempio ?redirect_uri=login.myapp.com. Per richiedere RedirectUri in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.redirect_uri. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <RefreshToken>

<RefreshToken>request.queryparam.refreshtoken</RefreshToken>

Quando richiedi un token di accesso utilizzando un token di aggiornamento, devi fornire il token di aggiornamento nella richiesta. Questo elemento consente di specificare dove Edge deve cercare il token di aggiornamento. Ad esempio, può essere inviato come parametro di query, intestazione HTTP o parametro del modulo (impostazione predefinita).

La variabile request.queryparam.refreshtoken indica che il token di aggiornamento deve essere presente come parametro di query, ad esempio ?refresh_token=login.myapp.com. Per richiedere il RefreshToken in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.refresh_token. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <RefreshTokenExpiresIn>

<RefreshTokenExpiresIn>1000</RefreshTokenExpiresIn>

Applica il tempo di scadenza dei token di aggiornamento in millisecondi. Il valore dell'ora di scadenza è un valore generato dal sistema più il valore <RefreshTokenExpiresIn>. Se <RefreshTokenExpiresIn> è impostato su -1, il token di aggiornamento scade in base alla scadenza massima del token di aggiornamento OAuth. Se <RefreshTokenExpiresIn> non è specificato, il sistema applica un valore predefinito configurato a livello di sistema. Contatta l'assistenza Apigee Edge per ulteriori informazioni sulle impostazioni di sistema predefinite.

Il tempo di scadenza può essere impostato anche in fase di runtime utilizzando un valore predefinito codificato o facendo riferimento a una variabile di flusso. Ad esempio, puoi memorizzare un valore di scadenza del token in una mappa chiave-valore, recuperarlo, assegnarlo a una variabile e farvi riferimento nel criterio. Ad esempio, kvm.oauth.expires_in.

La seguente strofa specifica anche una variabile di flusso e un valore predefinito. Tieni presente che il valore della variabile di flusso ha la precedenza sul valore predefinito specificato.

<RefreshTokenExpiresIn ref="kvm.oauth.expires_in">
    3600000 <!--default value in milliseconds-->
</RefreshTokenExpiresIn>

Private Cloud:per un'installazione di Edge per Private Cloud, il valore predefinito è impostato dalla proprietà conf_keymanagement_oauth_refresh_token_expiry_time_in_millis. Per impostare questa proprietà:

1. Apri il file message-processor.properties in un editor. Se il file non esiste, crealo:

   vi /opt/apigee/customer/application/message-processor.properties

2. Imposta la proprietà come preferisci:

   conf_keymanagement_oauth_refresh_token_expiry_time_in_millis=3600000

3. Assicurati che il file delle proprietà sia di proprietà dell'utente "apigee":

   chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

4. Riavvia il processore di messaggi.

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Elemento <ResponseType>

<ResponseType>request.queryparam.response_type</ResponseType>

Questo elemento comunica a Edge il tipo di concessione richiesto dall'app client. Viene utilizzato solo con i flussi di autorizzazione del codice e del tipo di autorizzazione implicita.

Per impostazione predefinita, Edge cerca il valore del tipo di risposta in un parametro della query response_type. Se vuoi ignorare questo comportamento predefinito, utilizza l'elemento <ResponseType> per configurare una variabile di flusso contenente il valore del tipo di risposta. Ad esempio, se imposti questo elemento su request.header.response_type, Edge cerca il tipo di risposta da trasmettere nell'intestazione della richiesta. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <ReuseRefreshToken>

<ReuseRefreshToken>true</ReuseRefreshToken>

Se impostato su true, il token di aggiornamento esistente viene riutilizzato fino alla scadenza. Se false, Apigee Edge emette un nuovo token di aggiornamento quando viene presentato un token di aggiornamento valido.

Elemento <Scope>

<Scope>request.queryparam.scope</Scope>

Se questo elemento è presente in uno dei criteri GenerateAccessToken o GenerateAuthorizationCode, viene utilizzato per specificare gli ambiti da concedere al token o al codice. Questi valori vengono in genere passati alla policy nella richiesta da un'app client. Puoi configurare l'elemento in modo che accetti una variabile di flusso, offrendoti la possibilità di scegliere come vengono passati gli ambiti in una richiesta. Nel seguente esempio, request.queryparam.scope indica che l'ambito deve essere presente come parametro di query, ad esempio ?scope=READ. Per richiedere l'ambito in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.scope.

Se questo elemento viene visualizzato in un criterio "VerifyAccessToken", viene utilizzato per specificare gli ambiti che il criterio deve applicare. In questo tipo di criterio, il valore deve essere un nome di ambito "hardcoded". Non puoi utilizzare variabili. Ad esempio:

<Scope>A B</Scope>

Vedi anche Utilizzo degli ambiti OAuth2 e Richiesta di token di accesso e codici di autorizzazione.

Elemento <State>

<State>request.queryparam.state</State>

Nei casi in cui l'app client deve inviare le informazioni sullo stato al server di autorizzazione, questo elemento ti consente di specificare dove Edge deve cercare i valori di stato. Ad esempio, potrebbe essere inviato come parametro di query o in un'intestazione HTTP. Il valore dello stato viene in genere utilizzato come misura di sicurezza per prevenire attacchi CSRF.

Ad esempio, request.queryparam.state indica che lo stato deve essere presente come parametro di query, ad esempio ?state=HjoiuKJH32. Per richiedere lo stato in un'intestazione HTTP, ad esempio, imposta questo valore su request.header.state. Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Elemento <StoreToken>

 <StoreToken>true</StoreToken>

Imposta questo elemento su true quando l'elemento <ExternalAuthorization> è true. L'elemento <StoreToken> indica ad Apigee Edge di memorizzare il token di accesso esterno. In caso contrario, non verrà mantenuto.

<SupportedGrantTypes>/<GrantType> elemento

<SupportedGrantTypes>
    <GrantType>authorization_code</GrantType>
    <GrantType>client_credentials</GrantType>
    <GrantType>implicit</GrantType>
    <GrantType>password</GrantType>
</SupportedGrantTypes>

Specifica i tipi di concessione supportati da un endpoint token OAuth su Apigee Edge. Un endpoint può supportare più tipi di concessione (ovvero, un singolo endpoint può essere configurato per distribuire token di accesso per più tipi di concessione). Per saperne di più sugli endpoint, consulta Informazioni sugli endpoint OAuth. Il tipo di concessione viene passato nelle richieste di token in un parametro grant_type.

Se non vengono specificati tipi di autorizzazione supportati, gli unici tipi di autorizzazione consentiti sono authorization_code e implicit. Vedi anche l'elemento <GrantType> (un elemento di livello superiore utilizzato per specificare dove Apigee Edge deve cercare il parametro grant_type passato in una richiesta client. Edge si assicurerà che il valore del parametro grant_type corrisponda a uno dei tipi di concessione supportati.

Elemento <Tokens>/<Token>

Utilizzato con le operazioni ValidateToken e InvalidateToken. Vedi anche Approvazione e revoca dei token di accesso. L'elemento <Token> identifica la variabile di flusso che definisce l'origine del token da revocare. Se gli sviluppatori devono inviare token di accesso come parametri di query denominati access_token, ad esempio, utilizza request.queryparam.access_token.

Elemento <UserName>

<UserName>request.queryparam.user_name</UserName>

Questo elemento viene utilizzato solo con il tipo di autorizzazione password. Con il tipo di concessione della password, le credenziali utente (password e nome utente) devono essere rese disponibili per il criterio OAuthV2. Gli elementi <PassWord> e <UserName> vengono utilizzati per specificare le variabili in cui Edge può trovare questi valori. Se questi elementi non sono specificati, il criterio prevede di trovare i valori (per impostazione predefinita) nei parametri del modulo denominati username e password. Se i valori non vengono trovati, il criterio genera un errore. Puoi utilizzare gli elementi <PassWord> e <UserName> per fare riferimento a qualsiasi variabile di flusso contenente le credenziali.

Ad esempio, puoi trasmettere il nome utente in un parametro di query e impostare l'elemento <UserName> nel seguente modo: <UserName>request.queryparam.username</UserName>.Per richiedere il nome utente in un'intestazione HTTP, imposta questo valore su request.header.username.

Il criterio OAuthV2 non esegue altre operazioni con questi valori delle credenziali; Edge verifica semplicemente che siano presenti. Spetta allo sviluppatore dell'API recuperare la richiesta di valori e inviarli a un provider di identità prima dell'esecuzione della policy di generazione dei token.

Vedi anche Richiesta di token di accesso e codici di autorizzazione.

Verifica dei token di accesso

Una volta configurato un endpoint token per un proxy API, al flusso che espone la risorsa protetta viene collegato un criterio OAuthV2 corrispondente che specifica l'operazione VerifyAccessToken.

Ad esempio, per assicurarti che tutte le richieste a un'API siano autorizzate, la seguente policy impone la verifica del token di accesso:

<OAuthV2 name="VerifyOAuthAccessToken">
  <Operation>VerifyAccessToken</Operation>
</OAuthV2>

Il criterio è associato alla risorsa API da proteggere. Per assicurarti che tutte le richieste a un'API siano verificate, collega la policy al PreFlow della richiesta ProxyEndpoint, nel seguente modo:

<PreFlow>
  <Request>
    <Step><Name>VerifyOAuthAccessToken</Name></Step>
  </Request>
</PreFlow>

I seguenti elementi facoltativi possono essere utilizzati per eseguire l'override delle impostazioni predefinite per l'operazione VerifyAccessToken.

<OAuthV2 name="ValidateOauthScopePolicy">
  <Operation>VerifyAccessToken</Operation>
  <Scope>READ WRITE</Scope>
</OAuthV2>

Vedi anche Verifica dei token di accesso e Richiesta di token di accesso e codici di autorizzazione.

Specificare le posizioni delle variabili di richiesta

Per ogni tipo di concessione, le norme fanno ipotesi sulla posizione o sulle informazioni richieste nei messaggi di richiesta. Queste ipotesi si basano sulla specifica OAuth 2.0. Se le tue app devono discostarsi dalla specifica OAuth 2.0, puoi specificare le posizioni previste per ogni parametro. Ad esempio, quando gestisci un codice di autorizzazione, puoi specificare la posizione del codice di autorizzazione, dell'ID client, dell'URI di reindirizzamento e dell'ambito. Questi possono essere specificati come intestazioni HTTP, parametri di query o parametri del modulo.

L'esempio seguente mostra come specificare la posizione dei parametri del codice di autorizzazione richiesti come intestazioni HTTP:

  ...
  <GrantType>request.header.grant_type</GrantType>
  <Code>request.header.code</Code>
  <ClientId>request.header.client_id</ClientId>
  <RedirectUri>request.header.redirect_uri</RedirectUri>
  <Scope>request.header.scope</Scope>
  ...

In alternativa, se necessario per supportare la base di app client, puoi combinare intestazioni e parametri della query:

  ...
  <GrantType>request.header.grant_type</GrantType>
  <Code>request.header.code</Code>
  <ClientId>request.queryparam.client_id</ClientId>
  <RedirectUri>request.queryparam.redirect_uri</RedirectUri>
  <Scope>request.queryparam.scope</Scope>
  ...

È possibile configurare una sola posizione per parametro.

Variabili di flusso

Le variabili di flusso definite in questa tabella vengono compilate quando vengono eseguite le rispettive policy OAuth e sono quindi disponibili per altre policy o applicazioni eseguite nel flusso del proxy API.

Operazione VerifyAccessToken

L'operazione VerifyAccessToken viene eseguita e un numero elevato di variabili di flusso viene compilato nel contesto di esecuzione del proxy. Queste variabili forniscono proprietà relative al token di accesso, all'app sviluppatore, allo sviluppatore e all'azienda. Puoi utilizzare una policy AssignMessage o JavaScript, ad esempio, per leggere una qualsiasi di queste variabili e utilizzarle in base alle esigenze in un secondo momento nel flusso. Queste variabili possono essere utili anche per scopi di debug.

Variabili specifiche per il token

Variabili specifiche per l'app

Queste variabili sono correlate all'app per sviluppatori associata al token.

Variabili specifiche per gli sviluppatori

Se app.appType è "Company", vengono compilati gli attributi dell'azienda e se app.appType è "Developer", vengono compilati gli attributi dello sviluppatore.

Variabili specifiche dell'azienda

Se app.appType è "Company", vengono compilati gli attributi dell'azienda e se app.appType è "Developer", vengono compilati gli attributi dello sviluppatore.

Operazione GenerateAuthorizationCode

Queste variabili vengono impostate quando l'operazione GenerateAuthorizationCode viene eseguita correttamente:

Prefisso: oauthv2authcode.{policy_name}.{variable_name}

Esempio: oauthv2authcode.GenerateCodePolicy.code

Operazioni GenerateAccessToken e RefreshAccessToken

Queste variabili vengono impostate quando le operazioni GenerateAccessToken e RefreshAccessToken vengono eseguite correttamente. Tieni presente che le variabili del token di aggiornamento non si applicano al flusso del tipo di concessione delle credenziali client.

Prefisso: oauthv2accesstoken.{policy_name}.{variable_name}

Esempio: oauthv2accesstoken.GenerateTokenPolicy.access_token

GenerateAccessTokenImplicitGrant

Queste variabili vengono impostate quando l'operazione GenerateAccessTokenImplicit viene eseguita correttamente per il flusso del tipo di concessione implicita.

Prefisso: oauthv2accesstoken.{policy_name}.{variable_name}

Esempio: oauthv2accesstoken.RefreshTokenPolicy.access_token

Riferimento agli errori

This section describes the fault codes and error messages that are returned and fault variables that are set by Edge when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. To learn more, see What you need to know about policy errors and Handling faults.

Runtime errors

These errors can occur when the policy executes.

Deployment errors

These errors can occur when you deploy a proxy containing this policy.

Fault variables

These variables are set when this policy triggers an error at runtime.

Example error response

These responses are sent back to the client if the <GenerateResponse> element is true.

If <GenerateResponse> is true, the policy returns errors in this format for operations that generate tokens and codes. For a complete list, see see OAuth HTTP error response reference.

{"ErrorCode" : "invalid_client", "Error" :"ClientId is Invalid"}

If <GenerateResponse> is true, the policy returns errors in this format for verify and validate operations. For a complete list, see see OAuth HTTP error response reference.

{  
   {  
      "fault":{  
         "faultstring":"Invalid Access Token",
         "detail":{  
            "errorcode":"keymanagement.service.invalid_access_token"
         }
      }
   }

Example fault rule

<FaultRule name=OAuthV2 Faults">
    <Step>
        <Name>AM-InvalidClientResponse</Name>
        <Condition>(fault.name = "invalid_client") OR (fault.name = "InvalidClientIdentifier")</Condition>
    </Step>
    <Step>
        <Name>AM-InvalidTokenResponse</Name>
        <Condition>(fault.name = "invalid_access_token")</Condition>
    </Step>
    <Condition>(oauthV2.failed = true) </Condition>
</FaultRule>

Schema delle norme

Ogni tipo di policy è definito da uno schema XML (.xsd). Per riferimento, gli schemi delle policy sono disponibili su GitHub.

Utilizzo della configurazione OAuth predefinita

Ogni organizzazione (anche un'organizzazione di prova senza costi) su Apigee Edge viene sottoposta al provisioning con un endpoint del token OAuth. L'endpoint è preconfigurato con le policy nel proxy API denominato oauth. Puoi iniziare a utilizzare l'endpoint token non appena crei un account su Apigee Edge. Per maggiori dettagli, vedi Informazioni sugli endpoint OAuth.

Eliminazione dei token di accesso

Per impostazione predefinita, i token OAuth2 vengono eliminati dal sistema Apigee Edge 3 giorni (259.200 secondi) dopo la scadenza sia del token di accesso sia del token di aggiornamento (se esistente). In alcuni casi, potresti voler modificare questa impostazione predefinita. Ad esempio, potresti voler ridurre il tempo di eliminazione per risparmiare spazio su disco se viene generato un numero elevato di token.

Se utilizzi Edge for Private Cloud, puoi modificare questa impostazione predefinita impostando le proprietà dell'organizzazione come spiegato in questa sezione. (L'eliminazione dopo 3 giorni dei token scaduti si applica a Edge per il cloud privato versione 4.19.01 e successive. Per le versioni precedenti, l'intervallo di eliminazione predefinito è di 180 giorni.

Aggiornamento delle impostazioni di eliminazione per Edge Private Cloud 4.16.01 e versioni successive

Nota:sono interessati solo i token generati dopo l'applicazione di queste impostazioni, che non si applicano ai token generati in precedenza.

Aggiornamento delle impostazioni di eliminazione per Edge Private Cloud 4.15.07

Nota:sono interessati solo i token generati dopo l'applicazione di queste impostazioni; le impostazioni non si applicano ai token generati in precedenza.

Comportamento non conforme alla normativa RFC

La policy OAuthV2 restituisce una risposta del token che contiene determinate proprietà non conformi alla RFC. La tabella seguente mostra le proprietà non conformi restituite dal criterio OAuthV2 e le proprietà conformi corrispondenti.

Inoltre, la risposta di errore per un token di aggiornamento scaduto quando grant_type = refresh_token è:

{"ErrorCode" : "InvalidRequest", "Error" :"Refresh Token expired"}

Tuttavia, la risposta conforme alla RFC è:

{"error" : "invalid_grant", "error_description" :"refresh token expired"}

Argomenti correlati

• Introduzione a OAuth 2.0