Zabezpieczanie interfejsu API za pomocą protokołu OAuth

Z tego samouczka dowiesz się, jak zabezpieczyć interfejs API za pomocą OAuth 2.0.

OAuth to protokół autoryzacji, który umożliwia aplikacjom dostęp do informacji w imieniu użytkowników bez konieczności ujawniania przez nich nazwy użytkownika i hasła.

W przypadku OAuth dane logowania (np. nazwa użytkownika i hasło lub klucz i tajny klucz) są wymieniane na token dostępu. Na przykład:

joe:joes_password (nazwa użytkownika:hasło) lub
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (klucz:tajny)

zmienia się w:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Token dostępu to losowy ciąg znaków, który jest tymczasowy (powinien wygasnąć po stosunkowo krótkim czasie), więc przekazywanie go w celu uwierzytelnienia użytkownika w przepływie pracy aplikacji jest znacznie bezpieczniejsze niż przekazywanie rzeczywistych danych logowania.

Specyfikacja OAuth 2.0 definiuje różne mechanizmy, zwane „typami uprawnień”, służące do dystrybucji tokenów dostępu dla aplikacji. Najbardziej podstawowy typ uwierzytelnienia zdefiniowany przez OAuth 2.0 to „dane uwierzytelniające klienta”. W tym typie autoryzacji tokeny dostępu OAuth są generowane w zamian za dane logowania klienta, czyli pary klucza i tajnego kodu klienta, jak w przykładzie powyżej.

Typ przyznawanych uprawnień klienta w Edge jest implementowany za pomocą zasad w proxy interfejsu API. Typowy przepływ OAuth obejmuje 2 etapy:

• Wywołaj proxy interfejsu API 1, aby wygenerować token dostępu OAuth na podstawie danych logowania klienta. Zajmuje się tym zasada OAuth 2.0 w proxy interfejsu API.
• Wywołaj proxy interfejsu API 2, aby wysłać token dostępu OAuth w wywołaniu interfejsu API. Serwer proxy interfejsu API weryfikuje token dostępu za pomocą zasady OAuth 2.0.

Czego potrzebujesz

• Konto Apigee Edge. Jeśli jeszcze go nie masz, możesz się zarejestrować, postępując zgodnie z instrukcjami w artykule Tworzenie konta Apigee Edge.
• cURL zainstalowany na komputerze, aby wykonywać wywołania interfejsu API z wiersza poleceń.

Pobieranie i wdrażanie proxy interfejsu API generującego tokeny

W tym kroku utworzysz proxy interfejsu API, które generuje token dostępu OAuth na podstawie klucza klienta i tajnego klucza klienta wysłanych w wywołaniu interfejsu API. Apigee udostępnia przykładowy serwer proxy interfejsu API, który to robi. Pobierzesz i wdrożysz serwer proxy, a potem użyjesz go w dalszej części samouczka. (Możesz łatwo samodzielnie utworzyć ten proxy interfejsu API. Ten krok pobierania i wdrażania jest wygodny i ma na celu pokazanie, jak łatwo można udostępniać utworzone już proxy).

1. Pobierz przykładowy plik ZIP z proxy interfejsu API „oauth” do dowolnego katalogu w systemie plików.
2. Otwórz stronę https://apigee.com/edge i zaloguj się.
3. Na pasku nawigacyjnym po lewej stronie wybierz Develop > API Proxies (Programowanie > Proxy interfejsu API).
4. Kliknij + Serwer proxy.
   
5. W kreatorze Utwórz serwer proxy kliknij Prześlij pakiet serwera proxy.
6. Wybierz pobrany plik oauth.zip i kliknij Dalej.
7. Kliknij Utwórz.
8. Po zakończeniu kompilacji kliknij Edytuj serwer proxy, aby wyświetlić nowy serwer proxy w edytorze serwera proxy interfejsu API.
9. Na stronie Przegląd edytora serwera proxy interfejsu API kliknij menu Wdrożenie i wybierz test. Jest to środowisko testowe w Twojej organizacji.
   
   W oknie potwierdzenia kliknij Wdróż.
   Gdy ponownie klikniesz menu Wdrożenie, zielona ikona wskaże, że serwer proxy został wdrożony w środowisku testowym.
   

Doskonale! Udało Ci się pobrać i wdrożyć w organizacji Edge proxy interfejsu API generujący token dostępu.

Wyświetlanie procesu OAuth i zasad

Przyjrzyjmy się bliżej temu, co zawiera serwer proxy interfejsu API.

1. W edytorze proxy interfejsu API kliknij kartę Develop (Tworzenie). W panelu Navigator po lewej stronie zobaczysz 2 zasady. W sekcji Proxy Endpoints zobaczysz też 2 przepływy POST.

2. Kliknij AccessTokenClientCredential w sekcji Proxy Endpoints.
   

   W widoku kodu XML zobaczysz element Flow o nazwie AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Przepływ to krok przetwarzania w proxy interfejsu API. W tym przypadku przepływ jest uruchamiany, gdy zostanie spełniony określony warunek (jest to tzw. przepływ warunkowy). Warunek zdefiniowany w elemencie <Condition> mówi, że jeśli wywołanie proxy interfejsu API jest kierowane do zasobu /accesstoken, a czasownik żądania to POST, należy wykonać zasadę GenerateAccessTokenClient, która generuje token dostępu.

3. Przyjrzyjmy się teraz zasadom, które zostaną uruchomione przez przepływ warunkowy. W diagramie przepływu kliknij ikonę zasady GenerateAccessTokenClient.
   
   W widoku kodu załadowana jest ta konfiguracja XML:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Konfiguracja obejmuje:

   • <Operation>, która może przyjmować jedną z kilku predefiniowanych wartości, określa, co ma robić zasada. W tym przypadku ma ona generować token dostępu.
   • Token wygaśnie po 1 godzinie (3600000 milisekund) od wygenerowania.
   • W <SupportedGrantTypes> oczekiwany protokół OAuth<GrantType> to client_credentials (wymiana klucza klienta i klucza tajnego na token OAuth).
   • Drugi element <GrantType> informuje zasadę, gdzie w wywołaniu interfejsu API szukać parametru typu przyznania, zgodnie ze specyfikacją OAuth 2.0. (Zobaczysz to później w wywołaniu interfejsu API). Typ przyznania może być też wysyłany w nagłówku HTTP (request.header.grant_type) lub jako parametr formularza (request.formparam.grant_type).

W tej chwili nie musisz nic więcej robić z proxy interfejsu API. W dalszych krokach użyjesz tego serwera proxy interfejsu API do wygenerowania tokena dostępu OAuth. Najpierw jednak musisz wykonać jeszcze kilka czynności:

• Utwórz proxy interfejsu API, które chcesz zabezpieczyć za pomocą OAuth.
• Utwórz jeszcze kilka artefaktów, które spowodują wygenerowanie klucza klienta i klucza tajnego klienta, które musisz wymienić na token dostępu.

Tworzenie serwera proxy interfejsu API chronionego przez OAuth

Teraz utworzysz proxy interfejsu API, które chcesz chronić. Jest to wywołanie interfejsu API, które zwraca coś, czego potrzebujesz. W tym przypadku proxy interfejsu API wywoła usługę mocktarget Apigee, aby zwrócić Twój adres IP. ALE zobaczysz go tylko wtedy, gdy w wywołaniu interfejsu API przekażesz prawidłowy token dostępu OAuth.

Utworzony tutaj proxy interfejsu API będzie zawierać zasadę, która sprawdza, czy żądanie zawiera token OAuth.

1. Na pasku nawigacyjnym po lewej stronie wybierz Develop > API Proxies (Programowanie > Proxy interfejsu API).
2. Kliknij + Serwer proxy.
   
3. W kreatorze Build a Proxy (Tworzenie serwera proxy) wybierz Reverse proxy (most common) (Serwer proxy zwrotny (najczęstszy)) i kliknij Next (Dalej).
4. Skonfiguruj serwer proxy w ten sposób:
   

   W tym polu	wykonaj to
   Nazwa proxy	Wpisz: helloworld_oauth2
   Ścieżka podstawowa projektu	Zmień na: /hellooauth2 Podstawowa ścieżka projektu jest częścią adresu URL używanego do wysyłania żądań do proxy interfejsu API.
   Istniejący interfejs API	Wpisz: https://mocktarget.apigee.net/ip Określa docelowy adres URL, który Apigee Edge wywołuje w żądaniu do serwera proxy interfejsu API.
   Opis	Wpisz: hello world protected by OAuth

5. Kliknij Dalej.
6. Na stronie Common policies (Typowe zasady):

   W tym polu	wykonaj to
   Bezpieczeństwo: autoryzacja	Wybierz OAuth 2.0.

7. Kliknij Dalej.
8. Na stronie Wirtualni hostowie kliknij Dalej.
9. Na stronie Kompilacja upewnij się, że wybrane jest środowisko test, i kliknij Utwórz i wdroż.
10. Na stronie Podsumowanie zobaczysz potwierdzenie, że nowy serwer proxy interfejsu API został utworzony i wdrożony w środowisku testowym.
11. Kliknij Edytuj serwer proxy, aby wyświetlić stronę Przegląd serwera proxy interfejsu API.
    Zwróć uwagę, że tym razem proxy interfejsu API jest wdrażany automatycznie. Kliknij menu Deployment (Wdrożenie), aby sprawdzić, czy obok środowiska „test” znajduje się zielona kropka wdrożenia.