Proteja uma API com o OAuth

Neste tutorial, você aprende a proteger uma API com o OAuth 2.0.

O OAuth é um protocolo de autorização que permite que os apps acessem informações em nome dos usuários sem que eles precisem divulgar o nome de usuário e a senha.

Com o OAuth, as credenciais de segurança (como nome de usuário/senha ou token/secret) são trocadas por um token de acesso. Exemplo:

joe:joes_password (nome de usuário:senha) ou
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (token:secret)

se torna algo como:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

O token de acesso é uma string aleatória de caracteres e é temporário (ele precisa expirar após um tempo relativamente curto). Portanto, passá-lo para autenticar um usuário em um fluxo de trabalho de aplicativos é muito mais seguro do que passar as credenciais reais.

A especificação OAuth 2.0 define diferentes mecanismos, chamados de "tipos de concessão", para distribuir tokens de acesso para aplicativos. O tipo de concessão mais básico definido pelo OAuth 2.0 é chamado de "credenciais do cliente". Nesse tipo de concessão, os tokens de acesso OAuth são gerados em troca de credenciais do cliente, que são pares de tokens/secrets do cliente, como no exemplo acima.

O tipo de concessão de credenciais de cliente no Edge é implementado usando políticas em proxies de API. Um fluxo OAuth comum envolve duas etapas:

• Chame o proxy de API 1 para gerar um token de acesso OAuth a partir de credenciais de cliente. Uma política do OAuth v2.0 no proxy de API lida com isso.
• Chame o proxy de API 2 para enviar o token de acesso OAuth em uma chamada de API. O proxy da API verifica o token de acesso usando uma política do OAuth v2.0.

O que é necessário

• Uma conta do Apigee Edge. Se você ainda não tiver uma, inscreva-se com as instruções em Como criar uma conta do Apigee Edge.
• cURL instalado na máquina para fazer chamadas de API a partir da linha de comando.

Fazer o download e implantar um proxy de API que gera um token

Nesta etapa, você criará o proxy de API que gera um token de acesso OAuth a partir de um token ou secret do cliente enviados em uma chamada de API. A Apigee fornece um exemplo de proxy de API que faz isso. Faça o download e a implantação do proxy agora. Em seguida, use-o posteriormente no tutorial. Você mesmo pode criar esse proxy de API. Essa etapa de download e implantação é conveniente para facilitar o compartilhamento dos proxies que já foram criados.

1. Faça o download do arquivo de amostra proxy da API do "Oauth" para qualquer diretório no seu sistema de arquivos.
2. Acesse https://apigee.com/edge e faça login.
3. Selecione Develop > API Proxies na barra de navegação à esquerda.
4. Clique em + Proxy.
   
5. No assistente Criar proxy, clique em Fazer upload do pacote de proxy.
6. Escolha o arquivo oauth.zip que você transferiu por download e clique em Próxima.
7. Clique em Criar.
8. Após a conclusão do build, clique em Editar proxy para conferir o novo proxy. no editor de proxy de API.
9. Na página "Visão geral" do editor de proxy da API, clique na lista suspensa Implantação e selecione teste. Este é o ambiente de teste da sua organização.
   
   No prompt de confirmação, clique em Implantar.
   Ao clicar novamente na lista suspensa de implantação, um ícone verde indica que o proxy está implantado no ambiente de teste.
   

Muito bem! Você fez o download e implantou um proxy de API que gera o token de acesso à organização do Edge.

Ver o fluxo e a política do OAuth

Vamos dar uma olhada no que está o proxy da API.

1. No editor de proxy da API, clique na guia Desenvolver. À esquerda Navegador, você verá duas políticas. Você também vai encontrar dois tipos de POST de fluxo na seção Proxy Endpoints.

2. Clique em AccessTokenClientCredential. Proxy Endpoints
   

   Na visualização do código XML, você verá um Flow chamado AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Um fluxo é uma etapa de processamento em um proxy de API. Nesse caso, o fluxo é acionado quando uma determinada condição é atendida (isso é chamado de fluxo condicional). A condição, definido em o elemento <Condition> informa que, se a chamada do proxy de API for feita para o recurso /accesstoken e o verbo da solicitação for POST, execute a política GenerateAccessTokenClient, que gera o acesso com base no token correto anterior.

3. Agora, vamos analisar a política que será acionada pelo fluxo condicional. Clique no ícone da política GenerateAccessTokenClient no diagrama de fluxo.
   
   A seguinte configuração de XML é carregada na visualização de código:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   A configuração inclui o seguinte:

   • O <Operation>, que pode ser um dos vários valores predefinidos, define o que a política fará. Nesse caso, ele gerará um token de acesso.
   • O token expirará 1 hora (3.600.000 milissegundos) após ser gerado.
   • Em <SupportedGrantTypes>, o <GrantType> do OAuth que precisa ser usado é client_credentials (alterando um token e um segredo de cliente para um token OAuth).
   • O segundo elemento <GrantType> informa à política onde procurar na chamada da API o parâmetro de tipo de concessão, conforme exigido pela especificação do OAuth 2.0. Você verá isso na chamada de API mais tarde. O tipo de concessão também pode ser enviado no cabeçalho HTTP (request.header.grant_type) ou como um parâmetro de formulário (request.formparam.grant_type).

Você não precisa fazer mais nada com o proxy da API no momento. Nas etapas posteriores, você usará esse proxy da API para gerar um token de acesso OAuth. Mas, primeiro, você precisa fazer mais algumas coisas:

• Crie o proxy de API que você quer proteger com o OAuth.
• Crie mais alguns artefatos que resultarão no token e no segredo do consumidor necessários para trocar por um token de acesso.

Criar o proxy da API protegido pelo OAuth

Agora você criará o proxy de API que quer proteger. É a chamada de API que retorna algo que você quer. Nesse caso, o proxy da API chamará o serviço simulado da Apigee para retornar seu endereço IP. Mas, você a verá somente se passar um token de acesso OAuth válido com sua chamada de API.

O proxy de API criado aqui incluirá uma política que verifica se há um token OAuth na solicitação.

1. Selecione Develop > API Proxies na barra de navegação à esquerda.
2. Clique em + Proxy.
   
3. No assistente Build a Proxy, selecione Reverse proxy (most common), e clique em Próxima.
4. Configure o proxy com o seguinte:
   

   Neste campo	faça isso
   Nome do proxy	Insira: helloworld_oauth2
   Caminho base do projeto	Altere para: /hellooauth2 O caminho base do projeto faz parte do URL usado para fazer solicitações ao proxy da API.
   API atual	Insira: https://mocktarget.apigee.net/ip Isso define o URL de destino que o Apigee Edge invoca em uma solicitação ao proxy de API.
   Descrição	Insira: hello world protected by OAuth

5. Clique em Next.
6. Na página Políticas comuns:

   Neste campo	faça isso
   Segurança: autorização	Selecione: OAuth 2.0

7. Clique em Próxima.
8. Na página Virtual Hosts, clique em Next.
9. Na página Build, confira se o ambiente test está selecionado e Clique em Criar e implantar.
10. Na página Resumo, você vê uma confirmação de que seu novo proxy de API foi criado e se o proxy de API foi implantado no seu teste de nuvem.
11. Clique em Editar proxy para exibir a página Visão geral do proxy de API.
    Desta vez, o proxy de API será implantado automaticamente. Clique na lista suspensa de implantação para garantir que haja um ponto de implantação verde ao lado do ambiente de "teste".