OAuth V2 ポリシーを取り消す

現在、Apigee Edge のドキュメントを表示しています。
Apigee X のドキュメントをご確認ください。 情報

概要

デベロッパー アプリ ID またはアプリのエンドユーザー ID または両方に関連付けられた OAuth2 アクセス トークンを取り消します。

OAuthv2 ポリシーを使用して、OAuth 2.0 アクセス トークンを生成します。Apigee で生成されるトークンの形式は次のとおりです。

{
  "issued_at" : "1421847736581",
  "application_name" : "a68d01f8-b15c-4be3-b800-ceae8c456f5a",
  "scope" : "READ",
  "status" : "approved",
  "api_product_list" : "[PremiumWeatherAPI]",
  "expires_in" : "3599", //--in seconds
  "developer.email" : "tesla@weathersample.com",
  "organization_id" : "0",
  "token_type" : "BearerToken",
  "client_id" : "k3nJyFJIA3p62DWOkLO6OJNi87GYXFmP",
  "access_token" : "7S22UqXGJDTuUADGzJzjXzXSaGJL",
  "organization_name" : "myorg",
  "refresh_token_expires_in" : "0", //--in seconds
  "refresh_count" : "0"
}

application_name 要素には、トークンに関連付けられているデベロッパー アプリ ID が含まれます。

デフォルトでは、Apigee のトークンにエンドユーザー ID が含まれません。エンドユーザー ID が含まれるように Apigee を構成するには、<AppEndUser> 要素を OAuthv2 ポリシーに追加します。

<OAuthV2 name="GenerateAccessTokenClient">
    <Operation>GenerateAccessTokenV/Operation>
    ...
    <AppEndUser>request.queryparam.app_enduser</AppEndUser>
</OAuthV2>

この例では、エンドユーザー ID を app_enduser という名前のクエリ パラメータの OAuthv2 ポリシーに渡しています。エンドユーザー ID は app_enduser 要素のトークンに含まれます。

{
 "issued_at" : "1421847736581",
 "application_name" : "a68d01f8-b15c-4be3-b800-ceae8c456f5a",
 "scope" : "READ",
 "app_enduser" : "6ZG094fgnjNf02EK",
 "status" : "approved",
 "api_product_list" : "[PremiumWeatherAPI]",
 "expires_in" : "3599", //--in seconds
 "developer.email" : "tesla@weathersample.com",
 "organization_id" : "0",
 "token_type" : "BearerToken",
 "client_id" : "k3nJyFJIA3p62DWOkLO6OJNi87GYXFmP",
 "access_token" : "7S22UqXGJDTuUADGzJzjXzXSaGJL",
 "organization_name" : "myorg",
 "refresh_token_expires_in" : "0", //--in seconds
 "refresh_count" : "0"
}

デベロッパー アプリ ID により取り消す

デベロッパー アプリ ID に関連付けられた OAuth2 アクセス トークンを取り消します。 Apigee によって生成されたすべての OAuth2 アクセス トークンには、そのトークンに関連付けられているデベロッパー アプリの ID が含まれます。そのため、そのアプリ ID に基づいてトークンを取り消すことができます。

• 特定のデベロッパーのアプリ ID のリストを取得するには、Developer Apps API を使用します。

• Developer Apps API を使用してアプリの詳細を取得することもできます。

アプリ エンドユーザー ID により取り消す

特定のアプリのエンドユーザー ID に関連付けられた OAuth2 アクセス トークンを取り消します。これは、トークンが発行されたユーザーの ID に関連付けられたトークンです。

デフォルトでは、OAuth アクセス トークンにはエンドユーザー ID のフィールドはありません。エンドユーザー ID により OAuth 2.0 アクセス トークンを取り消せるようにするには、上記で説明するように、OAuthv2 ポリシーを構成してトークンにユーザー ID を組み込む必要があります。

アプリのエンドユーザー ID を取得するには、Developer Apps API を使用します。

サンプル

以下のサンプルでは、Revoke OAuth V2 ポリシーを使用して、OAuth2 アクセス トークンを取り消しています。

<RevokeOAuthV2 continueOnError="false" enabled="true" name="MyRevokeTokenPolicy">
  <DisplayName>Revoke OAuth v2.0-1</DisplayName>
  <AppId ref="request.queryparam.app_id"></AppId>
</RevokeOAuthV2>

<RevokeOAuthV2 continueOnError="false" enabled="true" name="MyRevokeTokenPolicy">
  <DisplayName>Revoke OAuth v2.0-1</DisplayName>
  <AppId ref="request.queryparam.app_id"></AppId>
  <RevokeBeforeTimestamp>1561939200000</RevokeBeforeTimestamp>
</RevokeOAuthV2>

要素リファレンス

要素リファレンスでは、RevokeOAuthV2 ポリシーの要素と属性について説明します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<RevokeOAuthV2 continueOnError="false" enabled="true" name="GetOAuthV2Info-1">
  <DisplayName>Get OAuth v2.0 Info 1</DisplayName>
  <AppId ref="variable"></AppId>
  <EndUserId ref="variable"></EndUserId>
  <RevokeBeforeTimestamp ref="variable"></RevokeBeforeTimestamp>
  <Cascade>false</Cascade>
</RevokeOAuthV2>

<RevokeOAuthV2> 属性

<RevokeOAuthV2 continueOnError="false" enabled="true" name="Revoke-OAuth-v20-1">

次の表に、すべてのポリシーの親要素に共通する属性を示します。

<DisplayName> 要素

管理 UI プロキシ エディタで name 属性と一緒に使用して、ポリシーのラベルに使用する自然言語名を指定します。

<DisplayName>Policy Display Name</DisplayName>

<AppId> 要素

取り消すトークンのデベロッパー アプリ ID を指定します。アプリ ID を格納する変数またはリテラルのアプリ ID を渡します。

<AppId>appIdString</AppId>

or:

<AppId ref="request.queryparam.app_id"></AppId>

<Cascade> 要素

true で従来の不透明なアクセス トークンを使用している場合、<AppId> または <EndUserId> のいずれかが一致すると、更新トークンとアクセス トークンの両方が取り消されます。false の場合、アクセス トークンのみが取り消され、更新トークンは変更されません。不透明アクセス トークンにも同じ動作が適用されます。

<Cascade>false<Cascade>

<EndUserId> 要素

取り消すトークンのアプリ エンドユーザー ID を指定します。ユーザー ID を格納する変数またはリテラルのトークン文字列を渡します。

<EndUserId>userIdString</EndUserId>

or:

<EndUserId ref="request.queryparam.access_token"></EndUserId>

<RevokeBeforeTimestamp> 要素

タイムスタンプの値以前に発行されたトークンを取り消します。この要素は <AppId> および <EndUserId> と連携するため、特定の時間より前のトークンを取り消すことができます。デフォルト値はポリシーが実行される時刻です。

<RevokeBeforeTimestamp>timeStampString</RevokeBeforeTimestamp>

or:

<RevokeBeforeTimestamp ref="request.queryparam.revoke_since_timestamp"></RevokeBeforeTimestamp>

フロー変数

RevokeOAuthV2 ポリシーではフロー変数は設定されません。

エラー リファレンス

このセクションでは、このポリシーによってエラーがトリガーされたときに返される障害コードとエラー メッセージ、Edge によって設定される障害変数について説明します。これは、障害に対処する障害ルールを作成するうえで重要な情報です。詳細については、ポリシーエラーについて知っておくべきことと障害の処理をご覧ください。

ランタイム エラー

このエラーは、ポリシーの実行時に発生することがあります。以下のエラー名は、エラーが発生したときに fault.name 変数に割り当てられる文字列です。詳細については、以下の障害変数のセクションをご覧ください。

デプロイエラー

デプロイエラーについては、UI で報告されるメッセージを参照してください。

障害変数

次の変数は、このポリシーでランタイム エラーが発生したときに設定されます。

エラー レスポンスの例

{
   "fault":{
      "faultstring":"Timestamp is in the future.",
      "detail":{
         "errorcode":"steps.oauth.v2.InvalidFutureTimestamp"
      }
   }
}

障害ルールの例

<FaultRule name="RevokeOAuthV2 Faults">
    <Step>
        <Name>AM-InvalidTimestamp</Name>
    </Step>
    <Condition>(fault.name = "InvalidFutureTimestamp")</Condition>
</FaultRule>

関連トピック

• OAuthV2 ポリシー
• OAuth ホーム
• トークンと認証コードのカスタマイズ