Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. informacje.
Klucz interfejsu API (nazywany w Apigee Edge kluczem klienta) to ciąg znaków przekazywany przez aplikację kliencką do serwerów proxy interfejsu API. Klucz jednoznacznie identyfikuje aplikację kliencką.
Weryfikacja klucza interfejsu API to najprostsza forma zabezpieczeń aplikacji, którą możesz skonfigurować dla interfejsu API. Aplikacja kliencka prezentuje w żądaniu klucz interfejsu API, a następnie Apigee Edge sprawdza, czy klucz interfejsu API jest w stanie zatwierdzenia dla żądanego zasobu. Wewnętrznie Twoje serwery proxy używają zasad do weryfikowania autentyczności klucza interfejsu API.
Aby ułatwić sobie korzystanie z tej prostoty, musisz wprowadzić pewne zmiany. Aby obsługiwać klucze interfejsu API:
- Utwórz usługę Apigee Edge API obejmującą serwery proxy interfejsu API, które chcesz chronić za pomocą klucza interfejsu API.
-
Utwórz aplikację dewelopera Apigee Edge reprezentującą dewelopera aplikacji klienckiej, której aplikację będziesz uwierzytelniać.
Podczas tworzenia aplikacji dewelopera określasz usługi interfejsu API, do których aplikacja będzie mieć dostęp. W przypadku których będzie ona musiała podać klucz interfejsu API.
- Do serwerów proxy (tych uwzględnionych w usłudze API) dodaj zasady, aby sprawdzić, czy przychodzący klucz interfejsu API jest prawidłowy.
Samouczek zabezpieczania interfejsu API przez wymaganie kluczy interfejsu API pozwala szybko dowiedzieć się, jak kontrolować dostęp do serwera proxy interfejsu API za pomocą klucza interfejsu API.
Jak działają klucze interfejsu API
W Apigee Edge klucz interfejsu API jest nazywany kluczem klienta. Gdy rejestrujesz aplikacje dewelopera, Apigee Edge generuje klucz i obiekt tajny klienta. Apigee Edge przechowuje klucz klienta na potrzeby przyszłej weryfikacji. Każdy klucz klienta jest unikalny w organizacji. Programista umieszcza klucz klienta w aplikacji klienckiej. Aplikacja kliencka musi przedstawiać klucz klienta w przypadku każdego żądania. Usługi API weryfikują klucz klienta przed zezwoleniem na żądanie aplikacji.
Najważniejsze kroki
Poniżej znajdziesz opis korzystania z kluczy interfejsu API przez Apigee Edge. Te czynności obejmują też możliwe zabezpieczenia protokołu OAuth, ponieważ są one często używane w połączeniu z kluczami interfejsu API.
- Utwórz usługę API zawierającą serwery proxy interfejsu API, które powinny być chronione kluczem interfejsu API.
- Zarejestruj aplikację dewelopera w organizacji. Gdy to zrobisz, Apigee Edge wygeneruje klucz klienta i tajny klucz klienta.
- Powiąż aplikację dewelopera z co najmniej jedną usługą API. To usługa, która łączy ścieżki zasobów i serwery proxy interfejsu API z zatwierdzaniem klucza.
- Gdy w czasie działania aplikacja klienta wysyła żądanie do Twojego interfejsu API, aplikacja kliencka wysyła klucz klienta przy wysyłaniu żądania. W praktyce klucz klienta może być przekazywany bezpośrednio lub pośrednio za pomocą tokena OAuth:
- Gdy interfejs API korzysta z weryfikacji klucza interfejsu API – np. przez wdrożenie zasady VerificationAPIKey – aplikacja kliencka musi wyraźnie przekazać klucz klienta.
- Gdy interfejs API korzysta z weryfikacji tokena OAuth – np. przez wdrożenie zasady OAuthV2 – aplikacja kliencka musi przekazać token pobrany z klucza klienta.
- Serwer proxy interfejsu API weryfikuje dane uwierzytelniające żądania za pomocą zasady VerificationAPIKey lub zasady OAuthV2 z operacją VerificationAccessToken. Jeśli nie dodasz zasad wymuszania danych logowania na serwerze proxy interfejsu API, każdy element wywołujący będzie mógł wywołać Twoje interfejsy API. Więcej informacji znajdziesz w artykule Weryfikowanie klucza interfejsu API.
Weryfikuję dane uwierzytelniające żądania
To jest tylko ogólny zarys. Więcej informacji i przykłady kodu znajdziesz w artykule Konfigurowanie weryfikacji klucza interfejsu API.
- Jeśli korzystasz z weryfikacji tokena OAuth, masz wdrożoną zasadę OAuth do weryfikacji, a aplikacja kliencka przekazała token OAuth:
- Apigee Edge sprawdzi, czy token nie utracił ważności, a następnie wyszukuje klucz klienta użyty do wygenerowania tokena.
- Jeśli używasz klucza interfejsu API – masz wdrożoną zasadę VerificationAPIKey, a aplikacja kliencka przekazała swój klucz klienta:
- Apigee Edge sprawdza listę usług API, z którymi został powiązany klucz klienta.
- Edge sprawdza każdą usługę API, aby sprawdzić, czy obecny serwer proxy interfejsu API jest uwzględniony w usłudze i czy w usłudze jest włączona bieżąca ścieżka zasobu (ścieżka adresu URL).
- Edge sprawdza też, czy klucz klienta nie wygasł ani nie został unieważniony, sprawdza, czy aplikacja nie została unieważniona oraz czy deweloper nie jest nieaktywny.
- Jeśli wszystkie te warunki są spełnione – token jest ważny (jeśli dotyczy), klucz klienta jest prawidłowy i zatwierdzony, aplikacja została zatwierdzona, deweloper jest aktywny, serwer proxy jest dostępny w usłudze, a zasób jest w niej dostępny – weryfikacja danych logowania zakończy się powodzeniem.