Menyiapkan validasi kunci API

Anda sedang melihat dokumentasi Apigee Edge.
Buka dokumentasi Apigee X. info

Anda dapat menyiapkan validasi kunci API untuk API dengan melampirkan kebijakan jenis Verifikasi Kunci API. Satu-satunya setelan yang diperlukan untuk kebijakan Verifikasi Kunci API adalah perkiraan lokasi kunci API dalam permintaan klien. Proxy API akan memeriksa lokasi yang Anda tentukan, dan mengekstrak kunci API. Jika kunci API tidak ada di lokasi yang diharapkan, error akan ditampilkan dan permintaan ditolak. Kunci API dapat berada di parameter kueri, parameter formulir, atau header HTTP.

Misalnya, konfigurasi kebijakan di bawah menentukan lokasi kunci yang diharapkan sebagai parameter kueri bernama apikey. Permintaan yang berhasil harus menampilkan kunci API sebagai parameter kueri yang ditambahkan ke permintaan, misalnya,?apikey=Y7yeiuhcbKJHD790.

Untuk memverifikasi kunci API, buat kebijakan berikut:

<VerifyAPIKey name="APIKeyValidation">
  <APIKey ref="request.queryparam.apikey"/>
</VerifyAPIKey>

Kebijakan ini dapat dilampirkan ke API apa pun yang perlu Anda lindungi.

Dokumentasi komprehensif tentang jenis kebijakan ini dapat ditemukan di topik referensi kebijakan, yaitu kebijakan Verifikasi Kunci API.

Proxy API secara otomatis meneruskan semua header HTTP dan parameter kueri yang ada pada permintaan. Oleh karena itu, setelah kunci API diverifikasi, sebaiknya hapus kunci API dari pesan agar kunci API tidak dikirim melalui kabel ke layanan backend. Anda dapat melakukannya menggunakan kebijakan jenis AssignMessage sebagai berikut:

<AssignMessage name="StripApiKey">
    <DisplayName>Remove Query Param</DisplayName>
    <Remove>
        <QueryParams>
            <QueryParam name="apikey"/>
        </QueryParams>
    </Remove>
    <IgnoreUnresolvedVariables>true</IgnoreUnresolvedVariables>
    <AssignTo createNew="false" transport="http" type="request"></AssignTo>
</AssignMessage>

Lampiran kebijakan

Kebijakan harus dilampirkan ke Alur proxy API sebagai Langkah pemrosesan. Dengan menerapkan kebijakan ke PreFlow permintaan, kunci API diverifikasi pada setiap permintaan yang diterima oleh proxy API dari aplikasi klien. Setelah verifikasi, kunci API dihapus dari permintaan keluar.

Lampirkan kebijakan ke ProxyEndpoint proxy API yang akan dilindungi sebagai berikut:

<ProxyEndpoint name="default">
  <PreFlow>
    <Request>
      <Step><Name>APIKeyValidation</Name></Step>
      <Step><Name>StripApiKey</Name></Step>
    </Request>
  </PreFlow>

Setelah melampirkan kebijakan, deploy proxy API.

Mengirimkan permintaan dengan kunci API yang valid

Sebagai admin di organisasi Anda, Anda dapat mengambil kunci API aplikasi apa pun sebagai berikut:

$ curl https://api.enterprise.apigee.com/v1/o/{myorg}/developers/{developer_email}/apps/{app_name} -u email:password 

Profil aplikasi yang ditampilkan untuk panggilan ini menyediakan kunci dan rahasia konsumen (kunci API). Nilai kunci konsumen adalah nilai yang Anda gunakan untuk kunci API dalam permintaan ke API yang dilindungi.

Misalnya, permintaan yang tidak menyertakan kunci API akan menyebabkan kegagalan otorisasi.

$ curl http://{org_name}-test.apigee.net/weather/forecastrss?w=12797282

Pesan kegagalan menunjukkan bahwa kebijakan memeriksa kunci API, tetapi tidak menemukan kunci yang valid:

OAuth Failure : Could not resolve the app key with variable request.queryparam.apikey

Jika kunci konsumen untuk aplikasi disertakan sebagai parameter kueri, hasil yang diharapkan adalah otorisasi berhasil:

$ curl http://{org_name}-test.apigee.net/weather/forecastrss?w=12797282&"apikey=PulSCqMnXGchW0pC0s5o9ngHVTWMeLqk"

Hasil yang diharapkan adalah respons yang berhasil dari layanan cuaca.

Mengubah nilai kunci API dalam permintaan akan menyebabkan kegagalan otorisasi:

$ curl http://{org_name}-test.apigee.net/weather?forecastrss?w=12797282&"apikey=PulSCqMnXGchW0"

Menghasilkan:

OAuth Failure : Consumer Key is Invalid

Ingat, sebagai admin untuk organisasi Anda, Anda dapat mengambil kunci konsumen untuk aplikasi apa pun yang terdaftar di organisasi:

$ curl https://api.enterprise.apigee.com/v1/o/{myorg}/developers/{developer_email}/apps/{app_name} -u email:password