OAuth로 API 보호

이 가이드에서는 OAuth 2.0을 사용하여 API를 보호하는 방법을 보여줍니다.

OAuth는 사용자가 사용자 이름과 비밀번호를 증명하지 않아도 앱에서 사용자를 대신해 정보에 액세스할 수 있게 해주는 승인 프로토콜입니다.

OAuth를 사용하면 보안 사용자 인증 정보(사용자 이름/비밀번호 또는 키/보안 비밀)가 액세스 토큰으로 교환됩니다. 예를 들면 다음과 같습니다.

joe:joes_password(사용자 이름:비밀 번호) 또는
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb(키:보안 비밀)

다음으로 교환됩니다.

b0uiYwjRZLEo4lEu7ky2GGxHkanN

액세스 토큰은 임의 문자열이며 일시적이므로(상대적으로 짧은 시간 후 만료) 앱 워크플로에서 사용자를 인증할 때 배포하면 실제 사용자 인증 정보를 배포하는 것보다 훨씬 더 안전합니다.

OAuth 2.0 사양은 앱에 대한 액세스 토큰을 배포하기 위해 '부여 유형'이라는 여러 메커니즘을 정의합니다. OAuth 2.0에서 정의하는 가장 기본적인 부여 유형을 '클라이언트 사용자 인증 정보'라고 합니다. 이 부여 유형에서는 위 예시처럼 고객 키/고객 보안 비밀 쌍인 클라이언트 사용자 인증 정보 대신 OAuth 액세스 토큰이 생성됩니다.

Edge의 클라이언트 사용자 인증 정보 부여 유형은 API 프록시의 정책을 사용하여 구현됩니다. 일반적인 OAuth 흐름에는 다음 두 단계가 포함됩니다.

• API 프록시 1을 호출하여 클라이언트 사용자 인증 정보에서 OAuth 액세스 토큰을 생성합니다. API 프록시의 OAuth v2.0 정책에서 이를 처리합니다.
• API 프록시 2를 호출하여 API 호출에서 OAuth 액세스 토큰을 전송합니다. API 프록시는 OAuth v2.0 정책을 사용하여 액세스 토큰을 확인합니다.

필요한 항목

• Apigee Edge 계정 아직 계정이 없는 경우 안내에 따라 가입할 수 있습니다. Apigee를 사용한 Edge 계정입니다.
• 명령줄에서 API 호출을 수행하기 위해 머신에 설치된 cURL

토큰 생성 API 프록시 다운로드 및 배포

이 단계에서는 API 호출로 전송되는 고객 키와 고객 보안 비밀에서 OAuth 액세스 토큰을 생성하는 API 프록시를 만듭니다. Apigee는 이를 수행하는 샘플 API 프록시를 제공합니다. 지금 프록시를 다운로드하고 배포한 후 나중에 가이드에서 사용합니다. 이 API 프록시를 직접 쉽게 빌드할 수 있습니다. 이 다운로드 및 배포 단계는 편의를 위해 제작되었으며 이미 생성된 프록시를 얼마나 쉽게 공유할 수 있는지 보여줍니다.

1. 파일 시스템의 디렉터리에 'oauth' 샘플 API 프록시 ZIP 파일을 다운로드합니다.
2. https://apigee.com/edge로 이동하여 로그인합니다.
3. 왼쪽 탐색 메뉴에서 개발 > API 프록시를 선택합니다.
4. + Proxy를 클릭합니다.
   
5. 프록시 만들기 마법사에서 프록시 번들 업로드를 클릭합니다.
6. 다운로드한 oauth.zip 파일을 선택하고 다음을 탭합니다.
7. 만들기를 클릭합니다.
8. 빌드가 완료되면 Edit proxy(프록시 수정)를 클릭하여 새 프록시를 확인합니다. 를 사용합니다.
9. API 프록시 편집기 Overview 페이지에서 Deployment 드롭다운을 클릭하고 test를 선택합니다. 이는 조직의 테스트 환경입니다.
   
   확인 메시지가 표시되면 Deploy를 클릭합니다.
   Deployment 드롭다운을 다시 클릭하면 프록시가 테스트 환경에 배포되었음을 알리는 녹색 아이콘이 나타납니다.
   

수고하셨습니다! 액세스 토큰 생성 API 프록시를 성공적으로 다운로드하고 Edge 조직에 배포했습니다.

OAuth 흐름 및 정책 보기

API 프록시에 포함된 항목을 자세히 살펴보겠습니다.

1. API 프록시 편집기에서 Develop 탭을 클릭합니다. 왼쪽에 탐색기 창에 정책 두 개가 표시됩니다. 또한 두 개의 POST이(가) 표시됩니다. Proxy Endpoints 섹션에 있습니다.

2. 아래에서 AccessTokenClientCredential을 클릭합니다. Proxy Endpoints입니다.
   

   XML 코드 보기에는 AccessTokenClientCredential이라는 Flow가 표시됩니다.

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   흐름은 API 프록시의 처리 단계입니다. 이 경우 특정 조건이 충족되는 경우 (조건부 흐름이라고 함) 조건, 정의된 위치 <Condition> 요소는 다음과 같이 API 프록시 호출이 /accesstoken 리소스가고 요청 동사가 POST이면 GenerateAccessTokenClient 정책을 실행하여 액세스 권한을 생성합니다. 토큰입니다.

3. 이제 조건부 흐름이 트리거하는 정책을 살펴보겠습니다. 흐름도에서 GenerateAccessTokenClient 정책 아이콘을 클릭합니다.
   
   다음 XML 구성이 코드 보기에 로드됩니다.

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   구성에는 다음이 포함됩니다.

   • <Operation> - 사전 정의된 여러 값 중 하나일 수 있으며 정책이 수행할 작업을 정의합니다. 이 경우 액세스 토큰을 생성합니다.
   • 토큰은 생성 후 1시간(3,600,000밀리초) 후에 만료됩니다.
   • <SupportedGrantTypes>에서 사용되는 OAuth <GrantType>은 client_credentials입니다(고객 키와 보안 비밀을 OAuth 토큰으로 교환).
   • 두 번째 <GrantType> 요소는 OAuth 2.0 사양의 요구사항에 따라 API 호출에서 부여 유형 매개변수를 확인할 위치를 정책에 알립니다. 나중에 API 호출에서 확인할 수 있습니다. 또한 부여 유형은 HTTP 헤더(request.header.grant_type)에 또는 양식 매개변수(request.formparam.grant_type)로 전송될 수 있습니다.

현재는 API 프록시를 사용하여 다른 작업을 수행할 필요가 없습니다. 이후 단계에서 이 API 프록시를 사용하여 OAuth 액세스 토큰을 생성합니다. 하지만 먼저 몇 가지 작업을 수행해야 합니다.

• 실제로 OAuth로 보호하려는 API 프록시를 만듭니다.
• 액세스 토큰으로 교환해야 하는 고객 키와 고객 보안 비밀을 생성하는 몇 가지 아티팩트를 추가로 만듭니다.

OAuth로 보호되는 API 프록시 만들기

이제 보호하려는 API 프록시를 만듭니다. 이 프록시는 원하는 내용을 반환하는 API 호출입니다. 이 경우 API 프록시는 Apigee의 mocktarget 서비스를 호출하여 IP 주소를 반환합니다. 하지만 API 호출로 유효한 OAuth 액세스 토큰을 전달한 경우에만 확인할 수 있습니다.

여기서 만든 API 프록시에는 요청의 OAuth 토큰을 확인하는 정책이 포함됩니다.

1. 왼쪽 탐색 메뉴에서 개발 > API 프록시를 선택합니다.
2. + Proxy를 클릭합니다.
   
3. 프록시 빌드 마법사에서 역방향 프록시 (가장 일반적)를 선택합니다. 다음을 클릭합니다.
4. 다음 방법으로 프록시를 구성합니다.
   

   필드	작업
   Proxy Name	helloworld_oauth2 입력
   Project Base Path	/hellooauth2로 변경 Project Base Path는 API 프록시에 요청을 보내는 데 사용되는 URL의 일부입니다.
   Existing API	https://mocktarget.apigee.net/ip 입력 이는 Apigee Edge가 API 프록시에 대한 요청에서 호출하는 대상 URL을 정의합니다.
   Description	hello world protected by OAuth 입력

5. 다음을 클릭합니다.
6. 일반적인 정책 페이지에서 다음을 수행합니다.

   필드	작업
   보안: 승인	선택: OAuth 2.0

7. 다음을 클릭합니다.
8. Virtual Hosts(가상 호스트) 페이지에서 Next(다음)를 클릭합니다.
9. Build 페이지에서 test 환경이 선택되어 있는지 확인합니다. Create and Deploy(만들기 및 배포)를 클릭합니다.
10. 요약 페이지에 새 API 프록시가 생성되었으며 API 프록시가 테스트에 배포되었는지 확인합니다. 환경입니다
11. 프록시 수정을 클릭하여 API 프록시의 개요 페이지를 표시합니다.
    이번에는 API 프록시가 자동으로 배포됩니다. Deployment 드롭다운을 클릭하여 'test' 환경 옆에 녹색 배포 점이 있는지 확인합니다.