API mit OAuth sichern

In dieser Anleitung erfahren Sie, wie Sie eine API mit OAuth 2.0 schützen.

OAuth ist ein Autorisierungsprotokoll, mit dem Anwendungen im Namen der Nutzer auf Informationen zugreifen können, ohne dass Nutzer ihre Nutzernamen und Passwörter ändern müssen.

Mit OAuth werden Sicherheitsanmeldedaten (z. B. Nutzername/Passwort oder Schlüssel/Secret) gegen ein Zugriffstoken ausgetauscht. Beispiel:

joe:joes_password (username:password) oder
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

könnte dann etwa so aussehen:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Das Zugriffstoken besteht aus einer zufälligen Zeichenfolge und ist temporär (es sollte nach relativ kurzer Zeit ablaufen), sodass die Weitergabe zur Authentifizierung eines Benutzers in einem App-Workflow viel sicherer ist als die Weitergabe der tatsächlichen Anmeldeinformationen.

In der OAuth 2.0-Spezifikation werden verschiedene Mechanismen für die Verteilung von Zugriffstokens für Anwendungen definiert. Die einfachste OAuth 2.0-Zustimmungsart wird als „Clientanmeldedaten“ bezeichnet. In diesem Gewährungstyp werden OAuth-Zugriffstokens im Austausch für Clientanmeldedaten generiert. Das sind Schlüssel-/Consumer-Secret-Paare, wie im obigen Beispiel.

Der Zuweisungstyp des Client-Anmeldedaten in Edge wird mithilfe von Richtlinien in API-Proxys implementiert. Ein typischer OAuth-Ablauf umfasst zwei Schritte:

• Call API Proxy proxy 1, um ein OAuth-Zugriffstoken aus Clientanmeldedaten zu generieren. Eine OAuth v2.0-Richtlinie für den API-Proxy übernimmt dies.
• Call API proxy 2, um das OAuth-Zugriffstoken in einem API-Aufruf zu senden Der API-Proxy überprüft das Zugriffstoken mithilfe einer OAuth v2.0-Richtlinie.

Voraussetzungen

• Ein Apigee Edge-Konto. Falls Sie noch keins haben, können Sie sich mit der Anleitung für unter Apigee erstellen Edge-Konto.
• cURL, die auf Ihrem Computer installiert ist, API-Aufrufe über die Befehlszeile ausführen.

Tokengenerierenden API-Proxy herunterladen und bereitstellen

In diesem Schritt erstellen Sie den API-Proxy, der ein OAuth-Zugriffstoken aus einem Nutzerschlüssel und einem Consumer-Secret generiert, das in einem API-Aufruf gesendet wird. Apigee bietet einen API-Beispielproxy, der dies ausführt. Sie laden den Proxy jetzt herunter und stellen ihn bereit, um ihn später in der Anleitung zu verwenden. (Sie können diesen API-Proxy problemlos selbst erstellen. Die Schritte zum Herunterladen und Bereitstellen sind der Einfachheit halber und zeigen, wie einfach es ist, Proxys freizugeben, die bereits erstellt wurden.)

1. Laden Sie die ZIP-Datei für den Beispiel-API-Proxy „OAuth“ herunter und speichern Sie sie in einem beliebigen Verzeichnis in Ihrem Dateisystem.
2. Rufen Sie https://apigee.com/edge auf und melden Sie sich an.
3. Wählen Sie in der linken Navigationsleiste Develop > API Proxies aus.
4. Klicken Sie auf + Proxy.
   
5. Klicken Sie im Assistenten Proxy erstellen auf Proxy-Bundle hochladen.
6. Wählen Sie die heruntergeladene Datei oauth.zip aus und klicken Sie auf Weiter.
7. Klicken Sie auf Erstellen.
8. Klicken Sie nach Abschluss des Builds auf Proxy bearbeiten, um den neuen Proxy aufzurufen. im API-Proxy-Editor.
9. Klicken Sie auf der Übersichtsseite des API-Proxy-Editors auf das Drop-down Deployment und wählen Sie Test aus. Dies ist die Testumgebung in Ihrer Organisation.
   
   Klicken Sie in der Bestätigungsaufforderung auf Bereitstellen.
   Wenn Sie noch einmal auf das Drop-down-Menü „Deployment“ klicken, bedeutet ein grünes Symbol, dass der Proxy in der Testumgebung bereitgestellt wird.
   

Weiter so! Sie haben eine API zum Generieren von Zugriffstoken heruntergeladen und bereitgestellt Proxy zu Ihrer Edge-Organisation.

OAuth-Ablauf und Richtlinie ansehen

Sehen wir uns genauer an, was der API-Proxy enthält.

1. Klicken Sie im API-Proxy-Editor auf den Tab Develop. Auf der linken Seite Navigator: Hier werden zwei Richtlinien angezeigt. Außerdem werden zwei POST angezeigt. Abläufe im Abschnitt Proxy Endpoints.

2. Klicken Sie unter AccessTokenClientCredential auf Proxy Endpoints
   

   In der XML-Codeansicht sehen Sie ein Flow namens AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Ein Ablauf ist ein Verarbeitungsschritt in einem API-Proxy. In diesem Fall wird der Ablauf ausgelöst, wenn eine bestimmte Bedingung erfüllt ist. Dies wird als bedingter Fluss bezeichnet. Die Bedingung, definiert in Das Element <Condition> gibt an, dass bei einem API-Proxyaufruf an die Ressource /accesstoken und das Anfrageverb POST ist, dann die Richtlinie GenerateAccessTokenClient ausführen, die den Zugriff generiert Token.

3. Betrachten wir nun die Richtlinie, die der bedingte Ablauf auslöst. Klicken Sie im Flussdiagramm auf das Richtliniensymbol GenerateAccessTokenClient.
   
   Die folgende XML-Konfiguration wird in die Codeansicht geladen:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Die Konfiguration umfasst Folgendes:

   • Der <Operation>, der einer von mehreren vordefinierten Werten sein kann, legt die Funktionsweise der Richtlinie fest. In diesem Fall wird ein Zugriffstoken generiert.
   • Das Token läuft 1 Stunde (3.600.000 Millisekunden) nach Erstellung ab.
   • In <SupportedGrantTypes> wird erwartet, dass der verwendete OAuth <GrantType> client_credentials ist (Austausch eines Verbraucherschlüssels und -geheimnisses gegen ein OAuth-Token).
   • Das zweite <GrantType>-Element informiert die Richtlinie darüber, wo der API-Aufruf für den „type“-Parameterparameter gemäß der OAuth 2.0-Spezifikation zu suchen ist. Sie sehen dies später im API-Aufruf. Die Gewährungsart kann auch im HTTP-Header (request.header.grant_type) oder als Formularparameter (request.formparam.grant_type) gesendet werden.

Derzeit müssen Sie mit dem API-Proxy nichts weiter tun. In späteren Schritten benötigen Sie diesen API-Proxy, um ein OAuth-Zugriffstoken zu generieren. Zuerst müssen Sie jedoch noch ein paar zusätzliche Schritte ausführen:

• Erstellen Sie den API-Proxy, der mit OAuth gesichert werden soll.
• Erstellen Sie ein paar weitere Artefakte, die zu dem Consumer-Key und Consumer-Secret führen, das Sie gegen ein Zugriffstoken austauschen müssen.

OAuth-geschützten API-Proxy erstellen

Jetzt erstellen Sie den API-Proxy, der geschützt werden soll. Dies ist der API-Aufruf, der einen gewünschten Inhalt zurückgibt. In diesem Fall ruft der API-Proxy den fiktiven Zieldienst von Apigee auf, um Ihre IP-Adresse zurückzugeben. Sie sehen diese Option jedoch nur, wenn Sie mit Ihrem API-Aufruf ein gültiges OAuth-Zugriffstoken übergeben.

Der API-Proxy, den Sie hier erstellen, enthält eine Richtlinie, die in der Anfrage nach einem OAuth-Token sucht.

1. Wählen Sie in der linken Navigationsleiste Develop > API Proxies aus.
2. Klicken Sie auf + Proxy.
   
3. Wählen Sie im Assistenten Proxy erstellen die Option Reverse-Proxy (am häufigsten) aus. und klicken Sie auf Weiter.
4. Konfigurieren Sie den Proxy so:
   

   In diesem Feld	tun Sie Folgendes
   Proxy-Name	Eingeben: helloworld_oauth2
   Projektbasispfad	Ändern zu: /hellooauth2 Der Projektbasispfad ist Teil der URL, die für Anfragen an den API-Proxy verwendet wird.
   Vorhandene API	Eingeben: https://mocktarget.apigee.net/ip Definiert die Ziel-URL, die Apigee Edge bei einer Anfrage an den API-Proxy aufruft.
   Beschreibung	Eingeben: hello world protected by OAuth

5. Klicken Sie auf Next.
6. Auf der Seite Common policies:

   In diesem Feld	tun Sie Folgendes
   Security: Authorization	Wählen Sie OAuth 2.0 aus.

7. Klicken Sie auf Weiter.
8. Klicken Sie auf der Seite Virtuelle Hosts auf Weiter.
9. Achten Sie darauf, dass auf der Seite Build die Testumgebung ausgewählt ist. Klicken Sie auf Create and Deploy.
10. Auf der Seite Summary (Zusammenfassung) sehen Sie eine Bestätigung, dass Ihr neuer API-Proxy erfolgreich erstellt und der API-Proxy für Ihren Test bereitgestellt wurde zu verbessern.
11. Klicken Sie auf Proxy bearbeiten, um die Seite Übersicht für den API-Proxy anzuzeigen.
    Beachten Sie, dass der API-Proxy dieses Mal automatisch bereitgestellt wird. Klicken Sie auf das Drop-down-Menü „Deployment“, um zu prüfen, ob sich neben der Testumgebung eine grüne Bereitstellung befindet.