Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. Informacje
Klucz interfejsu API (znany w Apigee Edge jako klucz konsumenta) to wartość ciągu znaków przekazywana przez aplikację klienta do serwerów proxy interfejsu API. Klucz jednoznacznie identyfikuje aplikację klienta.
Weryfikacja klucza interfejsu API to najprostsza forma zabezpieczeń opartych na aplikacji, którą możesz skonfigurować dla interfejsu API. Aplikacja klienta po prostu przedstawia klucz interfejsu API w swoim żądaniu, a Apigee Edge sprawdza, czy klucz jest zatwierdzony w przypadku zasobu, do którego wysyłane jest żądanie. Wewnętrznie Twoje serwery proxy używają zasad do sprawdzania autentyczności klucza interfejsu API.
Aby to było możliwe, musisz wykonać kilka czynności konfiguracyjnych. Aby obsługiwać klucze interfejsu API, musisz:
- Utwórz usługę interfejsu API Apigee Edge, która zawiera serwery proxy interfejsu API, które chcesz chronić za pomocą klucza interfejsu API.
-
Utwórz aplikację dla programistów Apigee Edge, która reprezentuje dewelopera aplikacji klienckiej, której aplikację będziesz uwierzytelniać.
Podczas tworzenia aplikacji dla deweloperów musisz określić produkty API, do których aplikacja dewelopera będzie miała dostęp, oraz podać klucz interfejsu API.
- Do swoich serwerów proxy (tych, które zostały uwzględnione w Twoim produkcie interfejsu API), dodaj zasady, aby sprawdzić, czy przychodzący klucz interfejsu API jest prawidłowy.
W samouczku Zabezpieczanie interfejsu API przez wymaganie kluczy interfejsu API znajdziesz szybkie informacje o tym, jak kontrolować dostęp do serwera proxy interfejsu API za pomocą klucza interfejsu API.
Jak działają klucze interfejsu API
W Apigee Edge klucz interfejsu API jest nazywany kluczem konsumenta. Podczas rejestrowania aplikacji dla programistów Apigee Edge generuje klucz i obiekt tajny klienta. Apigee Edge przechowuje klucz konsumenta na potrzeby przyszłej weryfikacji. Każdy klucz konsumenta jest unikalny w organizacji. Deweloper aplikacji umieszcza klucz klienta w aplikacji klienta. Aplikacja klienta musi przedstawiać klucz klienta w przypadku każdego żądania. Usługi interfejsu API weryfikują klucz konsumenta, zanim zezwolą na żądanie aplikacji.
Najważniejsze kroki
W tych krokach opisano, jak Apigee Edge używa kluczy API. Te kroki obejmują również zabezpieczenia OAuth, ponieważ są one często używane w połączeniu z kluczami interfejsu API.
- Utwórz usługę API, która zawiera serwery proxy API, które powinny być chronione za pomocą klucza API.
- zarejestrujesz aplikację dewelopera w organizacji. Gdy to zrobisz, Apigee Edge wygeneruje klucz i obiekt tajny klienta.
- Połącz aplikację dewelopera z co najmniej 1 produktem API. To usługa, która łączy ścieżki zasobów i proksy interfejsu API z zatwierdzonym kluczem.
- Podczas działania, gdy aplikacja kliencka wysyła żądanie do Twojego interfejsu API, wysyła klucz konsumenta. W praktyce klucz konsumenta może być przekazywany wprost lub może być używany domyślnie za pomocą tokena OAuth:
- Gdy interfejs API używa weryfikacji klucza API (np. poprzez wdrożenie zasady VerifyAPIKey), aplikacja klienta musi wyraźnie przekazać klucz konsumenta.
- Gdy interfejs API używa weryfikacji tokena OAuth (np. poprzez wdrożenie zasady OAuthV2), aplikacja kliencka musi przekazać token wygenerowany na podstawie klucza konsumenta.
- Proxy API weryfikuje dane uwierzytelniające za pomocą reguły VerifyAPIKey lub reguły OAuthV2 z operacją VerifyAccessToken. Jeśli w interfejsie API Proxy nie uwzględnisz zasad egzekwowania danych logowania, każdy wywołujący będzie mógł wywoływać Twoje interfejsy API. Więcej informacji znajdziesz w zasadach dotyczących weryfikacji klucza interfejsu API.
Weryfikowanie danych logowania
Oto przegląd. Szczegółowe informacje i przykłady kodu znajdziesz w artykule Konfigurowanie weryfikacji klucza interfejsu API.
- Jeśli używasz weryfikacji tokena OAuth – czyli zaimplementowałeś zasady OAuth do weryfikacji – i aplikacja kliencka przekazała token OAuth:
- Apigee Edge sprawdza, czy token nie wygasł, a potem wyszukuje klucz konsumenta, który posłużył do wygenerowania tokena.
- Jeśli używasz klucza interfejsu API – wdroczyłeś zasadę VerifyAPIKey, a aplikacja kliencka przekazała klucz konsumenta:
- Apigee Edge sprawdza listę interfejsów API, z którymi powiązano klucz konsumenta.
- Edge sprawdza każdy produkt interfejsu API, aby sprawdzić, czy bieżące proxy interfejsu API jest uwzględnione w produkcie interfejsu API oraz czy bieżąca ścieżka zasobu (ścieżka URL) jest włączona w produkcie interfejsu API.
- Edge sprawdza też, czy klucz konsumenta nie wygasł lub nie został cofnięty, czy aplikacja nie została cofnięta i czy deweloper nie jest nieaktywny.
- Jeśli wszystkie te warunki są spełnione – token nie wygasł (w odpowiednich przypadkach), klucz konsumenta jest prawidłowy i zatwierdzony, aplikacja jest zatwierdzona, deweloper jest aktywny, serwer pośredniczący jest dostępny w usłudze, a zasób jest dostępny w usłudze – weryfikacja danych logowania się powiedzie.