Bảo mật API bằng OAuth

Hướng dẫn này cho bạn biết cách bảo mật một API bằng OAuth 2.0.

OAuth là một giao thức uỷ quyền cho phép các ứng dụng truy cập vào thông tin thay cho người dùng mà không yêu cầu người dùng tiết lộ tên người dùng và mật khẩu của họ.

Với OAuth, thông tin đăng nhập bảo mật (chẳng hạn như tên người dùng/mật khẩu hoặc khoá/bí mật) sẽ được trao đổi để lấy mã truy cập. Ví dụ:

joe:joes_password (username:password) hoặc
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

trở thành:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Mã truy cập là một chuỗi ký tự ngẫu nhiên và chỉ có hiệu lực tạm thời (mã này sẽ hết hạn sau một khoảng thời gian tương đối ngắn). Vì vậy, việc truyền mã truy cập để xác thực người dùng trong quy trình làm việc của ứng dụng sẽ an toàn hơn nhiều so với việc truyền thông tin đăng nhập thực tế.

Quy cách OAuth 2.0 xác định nhiều cơ chế (gọi là "các loại cấp quyền") để phân phối mã truy cập cho các ứng dụng. Loại quyền cơ bản nhất do OAuth 2.0 xác định được gọi là "thông tin đăng nhập ứng dụng". Trong loại cấp quyền này, mã truy cập OAuth được tạo để đổi lấy thông tin xác thực của ứng dụng, là các cặp khoá người dùng/khoá bí mật của người dùng, chẳng hạn như ví dụ ở trên.

Loại cấp thông tin xác thực của ứng dụng trong Edge được triển khai bằng cách sử dụng các chính sách trong các proxy API. Một quy trình OAuth điển hình bao gồm 2 bước:

• Gọi API proxy 1 để tạo mã truy cập OAuth từ thông tin đăng nhập của ứng dụng. Một chính sách OAuth phiên bản 2.0 trên proxy API sẽ xử lý việc này.
• Gọi API proxy 2 để gửi mã truy cập OAuth trong một lệnh gọi API. API proxy xác minh mã truy cập bằng chính sách OAuth phiên bản 2.0.

Bạn cần có

• Một tài khoản Apigee Edge. Nếu chưa có tài khoản, bạn có thể đăng ký theo hướng dẫn tại Tạo tài khoản Apigee Edge.
• cURL được cài đặt trên máy của bạn để thực hiện lệnh gọi API từ dòng lệnh.

Tải xuống và triển khai một proxy API tạo mã thông báo

Trong bước này, bạn sẽ tạo một proxy API tạo mã truy cập OAuth từ khoá của người dùng và thông tin bí mật của người dùng được gửi trong một Lệnh gọi API. Apigee cung cấp một API proxy mẫu thực hiện việc này. Bây giờ, bạn sẽ tải xuống và triển khai proxy, sau đó sử dụng proxy này trong hướng dẫn sau. (Bạn có thể tự tạo proxy API này một cách dễ dàng. Bước tải xuống và triển khai này là để thuận tiện và cho bạn thấy việc chia sẻ các proxy đã được tạo dễ dàng như thế nào.)

1. Tải tệp ZIP của proxy API mẫu "oauth" xuống bất kỳ thư mục nào trên hệ thống tệp của bạn.
2. Truy cập vào https://apigee.com/edge rồi đăng nhập.
3. Chọn Develop > API Proxies (Phát triển > API Proxy) trong thanh điều hướng bên trái.
4. Nhấp vào + Proxy.
   
5. Trong trình hướng dẫn Tạo proxy, hãy nhấp vào Tải gói proxy lên.
6. Chọn tệp oauth.zip mà bạn đã tải xuống, rồi nhấp vào Tiếp theo.
7. Nhấp vào Tạo.
8. Sau khi quá trình tạo hoàn tất, hãy nhấp vào Chỉnh sửa proxy để xem proxy mới trong trình chỉnh sửa proxy API.
9. Trên trang Tổng quan về trình chỉnh sửa API Proxy, hãy nhấp vào trình đơn thả xuống Triển khai rồi chọn test. Đây là môi trường thử nghiệm trong tổ chức của bạn.
   
   Tại lời nhắc xác nhận, hãy nhấp vào Triển khai.
   Khi bạn nhấp lại vào trình đơn thả xuống Deployment (Triển khai), một biểu tượng màu xanh lục sẽ cho biết rằng proxy được triển khai vào môi trường thử nghiệm.
   

Bạn làm tốt lắm! Bạn đã tải xuống và triển khai thành công một proxy API tạo mã truy cập cho tổ chức Edge của mình.

Xem quy trình và chính sách OAuth

Hãy cùng tìm hiểu kỹ hơn về nội dung của proxy API.

1. Trong trình chỉnh sửa proxy API, hãy nhấp vào thẻ Phát triển. Trong ngăn Navigator (Trình điều hướng) ở bên trái, bạn sẽ thấy 2 chính sách. Bạn cũng sẽ thấy 2 luồng POST trong phần Proxy Endpoints.

2. Nhấp vào AccessTokenClientCredential trong Proxy Endpoints.
   

   Trong chế độ xem mã XML, bạn sẽ thấy một Flow có tên là AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Luồng là một bước xử lý trong một proxy API. Trong trường hợp này, quy trình sẽ được kích hoạt khi một điều kiện nhất định được đáp ứng (đây được gọi là quy trình có điều kiện). Điều kiện được xác định trong phần tử <Condition> cho biết rằng nếu lệnh gọi proxy API được thực hiện cho tài nguyên /accesstoken và động từ yêu cầu là POST, thì hãy thực thi chính sách GenerateAccessTokenClient để tạo mã truy cập.

3. Bây giờ, hãy xem chính sách mà luồng có điều kiện sẽ kích hoạt. Nhấp vào biểu tượng chính sách GenerateAccessTokenClient trong sơ đồ quy trình.
   
   Cấu hình XML sau đây được tải vào chế độ xem mã:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Cấu hình này bao gồm những nội dung sau:

   • <Operation> (có thể là một trong số các giá trị được xác định trước) sẽ xác định những việc mà chính sách sẽ làm. Trong trường hợp này, chính sách sẽ tạo mã truy cập.
   • Mã thông báo sẽ hết hạn sau 1 giờ (3.600.000 mili giây) kể từ khi được tạo.
   • Trong <SupportedGrantTypes>, OAuth <GrantType> dự kiến sẽ được sử dụng là client_credentials (trao đổi khoá của người dùng và bí mật để lấy mã thông báo OAuth).
   • Phần tử <GrantType> thứ hai cho biết chính sách cần tìm tham số loại cấp phép ở đâu trong lệnh gọi API, theo yêu cầu của quy cách OAuth 2.0. (Bạn sẽ thấy thông tin này trong lệnh gọi API sau). Bạn cũng có thể gửi loại cấp quyền trong tiêu đề HTTP (request.header.grant_type) hoặc dưới dạng một tham số biểu mẫu (request.formparam.grant_type).

Hiện tại, bạn không cần làm gì khác với proxy API. Trong các bước sau, bạn sẽ dùng proxy API này để tạo mã truy cập OAuth. Nhưng trước tiên, bạn cần làm thêm một số việc:

• Tạo proxy API mà bạn thực sự muốn bảo mật bằng OAuth.
• Tạo thêm một số cấu phần phần mềm sẽ tạo ra khoá của người dùng: và bí mật người dùng mà bạn cần trao đổi để lấy mã truy cập.

Tạo proxy API được bảo vệ bằng OAuth

Bây giờ, bạn sẽ tạo proxy API mà bạn muốn bảo vệ. Đây là lệnh gọi API trả về thứ bạn muốn. Trong trường hợp này, proxy API sẽ gọi dịch vụ mocktarget của Apigee để trả về địa chỉ IP của bạn. TUY NHIÊN, bạn sẽ chỉ thấy thông tin này nếu truyền mã thông báo truy cập OAuth hợp lệ bằng lệnh gọi API.

Proxy API mà bạn tạo ở đây sẽ bao gồm một chính sách kiểm tra mã thông báo OAuth trong yêu cầu.

1. Chọn Develop > API Proxies (Phát triển > API Proxy) trong thanh điều hướng bên trái.
2. Nhấp vào + Proxy.
   
3. Trong trình hướng dẫn Build a Proxy (Tạo một proxy), hãy chọn Reverse proxy (most common) (Proxy đảo ngược (phổ biến nhất)), rồi nhấp vào Next (Tiếp theo).
4. Định cấu hình proxy bằng các thông tin sau:
   

   Trong trường này	làm việc này
   Tên proxy	Nhập: helloworld_oauth2
   Đường dẫn cơ sở của dự án	Thay đổi thành: /hellooauth2 Đường dẫn cơ sở của dự án là một phần của URL dùng để gửi yêu cầu đến proxy API.
   API hiện có	Nhập: https://mocktarget.apigee.net/ip Thao tác này xác định URL mục tiêu mà Apigee Edge gọi theo yêu cầu đối với API proxy.
   Nội dung mô tả	Nhập: hello world protected by OAuth

5. Nhấp vào Tiếp theo.
6. Trên trang Chính sách chung:

   Trong trường này	làm việc này
   Bảo mật: Uỷ quyền	Chọn: OAuth 2.0

7. Nhấp vào Tiếp theo.
8. Trên trang Máy chủ ảo, hãy nhấp vào Tiếp theo.
9. Trên trang Build (Tạo), hãy nhớ chọn môi trường test (thử nghiệm) rồi nhấp vào Create and Deploy (Tạo và triển khai).
10. Trên trang Tóm tắt, bạn sẽ thấy thông báo xác nhận rằng bạn đã tạo thành công API proxy mới và API proxy đó đã được triển khai vào môi trường kiểm thử.
11. Nhấp vào Chỉnh sửa proxy để hiển thị trang Tổng quan cho proxy API.
    Lưu ý rằng lần này, proxy API sẽ được triển khai tự động. Nhấp vào trình đơn thả xuống Deployment (Triển khai) để đảm bảo có dấu chấm triển khai màu xanh lục bên cạnh môi trường "test" (kiểm thử).