OAuth ile API'nin güvenliğini sağlama

Bu eğiticide, OAuth 2.0 ile bir API'nin güvenliğini nasıl sağlayacağınız gösterilmektedir.

OAuth, uygulamaların kullanıcı adı ve şifrelerini açıklamalarına gerek kalmadan kullanıcılar adına bilgilere erişmesini sağlayan bir yetkilendirme protokolüdür.

OAuth ile güvenlik kimlik bilgileri (ör. kullanıcı adı/şifre veya anahtar/gizli) erişim jetonuyla değiştirilir. Örneğin:

joe:joes_password (username:password) veya
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

şuna benzer bir şey olur:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Erişim jetonu, rastgele bir karakter dizisidir ve geçicidir (nispeten kısa bir süre sonra süresi dolmalıdır). Bu nedenle, bir kullanıcıyı uygulama iş akışında doğrulamak için erişim jetonunu iletmek, gerçek kimlik bilgilerini iletmeye kıyasla çok daha güvenlidir.

OAuth 2.0 spesifikasyonu, uygulamalar için erişim jetonlarının dağıtılmasına yönelik "izin türleri" adı verilen farklı mekanizmalar tanımlar. OAuth 2.0 tarafından tanımlanan en temel erişim izni türüne "istemci kimlik bilgileri" adı verilir. Bu izin türünde, OAuth erişim jetonları istemci kimlik bilgileri karşılığında oluşturulur. Bu kimlik bilgileri, yukarıdaki örnekte olduğu gibi tüketici anahtarı/tüketici gizli anahtarı çiftleridir.

Edge'deki istemci kimlik bilgileri atama türü, API proxy'lerindeki politikalar kullanılarak uygulanır. Tipik bir OAuth akışı iki adımdan oluşur:

• İstemci kimlik bilgilerinden OAuth erişim jetonu oluşturmak için API proxy'si 1'i çağırın. Bu işlem, API proxy'sindeki bir OAuth v2.0 politikası tarafından gerçekleştirilir.
• API çağrısında OAuth erişim jetonunu göndermek için API proxy'si 2'yi çağırın. API proxy'si, OAuth v2.0 politikası kullanarak erişim jetonunu doğrular.

İhtiyacınız olanlar

• Apigee Edge hesabı Henüz hesabınız yoksa Apigee Edge hesabı oluşturma bölümündeki talimatları uygulayarak kaydolabilirsiniz.
• Komut satırından API çağrıları yapmak için makinenize cURL'nin yüklenmesi gerekir.

Jeton oluşturan bir API proxy'sini indirip dağıtma

Bu adımda, bir API çağrısında gönderilen tüketici anahtarı ve tüketici gizli anahtarından OAuth erişim jetonu oluşturan API proxy'sini oluşturacaksınız. Apigee, bunu yapan örnek bir API proxy'si sağlar. Proxy'yi şimdi indirip dağıtacak, ardından eğitimde kullanacaksınız. (Bu API proxy'sini kendiniz kolayca oluşturabilirsiniz. Bu indirme ve dağıtma adımı, kolaylık sağlamak ve daha önce oluşturulmuş proxy'leri paylaşmanın ne kadar kolay olduğunu göstermek için uygulanır.)

1. "oauth" örnek API proxy'si ZIP dosyasını dosya sisteminizdeki herhangi bir dizine indirin.
2. https://apigee.com/edge adresine gidip oturum açın.
3. Soldaki gezinme çubuğunda Geliştir > API Prox'ileri'ni seçin.
4. + Proxy'yi tıklayın.
   
5. Create Proxy (Proxy Oluştur) sihirbazında Upload proxy bundle'ı (Proxy paketi yükle) tıklayın.
6. İndirdiğiniz oauth.zip dosyasını seçip Sonraki'yi tıklayın.
7. Oluştur'u tıklayın.
8. Derleme tamamlandıktan sonra, yeni proxy'yi API proxy düzenleyicisinde görüntülemek için Proxy'yi düzenle'yi tıklayın.
9. API Proxy Editor'daki Genel Bakış sayfasında Deployment (Dağıtım) açılır listesini tıklayın ve test'i (test) seçin. Bu, kuruluşunuzdaki test ortamıdır.
   
   Onay isteminde Dağıt'ı tıklayın.
   Dağıtım açılır listesini tekrar tıkladığınızda, proxy'nin test ortamına dağıtıldığını gösteren yeşil bir simge görünür.
   

Tebrikler! Bir erişim jetonu oluşturan API proxy'sini Edge kuruluşunuza başarıyla indirip dağıttınız.

OAuth akışını ve politikasını görüntüleme

API proxy'sinin içeriğini daha yakından inceleyelim.

1. API proxy düzenleyicide Geliştir sekmesini tıklayın. Soldaki Navigator bölmesinde iki politika görürsünüz. Ayrıca, Proxy Endpoints bölümünde iki POST akışı görürsünüz.

2. Proxy Endpoints bölümünde AccessTokenClientCredential'ı tıklayın.
   

   XML kodu görünümünde Flow adlı bir AccessTokenClientCredential görürsünüz:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Akış, API proxy'sindeki bir işleme adımıdır. Bu durumda, akış belirli bir koşul karşılandığında tetiklenir (koşullu akış olarak adlandırılır). <Condition> öğesinde tanımlanan koşul, API proxy çağrısı /accesstoken kaynağına yapılırsa ve istek fiili POST ise erişim jetonunu oluşturan GenerateAccessTokenClient politikasının yürütülmesini belirtir.

3. Şimdi koşullu akışın tetikleyeceği politikaya bakalım. Akış şemasında GenerateAccessTokenClient politika simgesini tıklayın.
   
   Aşağıdaki XML yapılandırması, kod görünümüne yüklenir:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Yapılandırma şunları içerir:

   • Birkaç önceden tanımlanmış değerden biri olabilen <Operation>, politikanın ne yapacağını tanımlar. Bu durumda, bir erişim jetonu oluşturur.
   • Jetonun süresi, oluşturulduktan 1 saat (3.600.000 milisaniye) sonra dolar.
   • <SupportedGrantTypes> içinde, kullanılması beklenen OAuth <GrantType>, client_credentials (tüketici anahtarı ve sırrını OAuth jetonuyla değiştirme) olmalıdır.
   • İkinci <GrantType> öğesi, OAuth 2.0 spesifikasyonunun gerektirdiği şekilde, API çağrısında izin türü parametresinin nerede aranacağını politikaya bildirir. (Bunu daha sonra API çağrısında göreceksiniz.) İzin türü, HTTP üstbilgisinde (request.header.grant_type) veya form parametresi olarak (request.formparam.grant_type) da gönderilebilir.

Şu anda API proxy'siyle ilgili başka bir işlem yapmanız gerekmiyor. Sonraki adımlarda, OAuth erişim jetonu oluşturmak için bu API proxy'sini kullanacaksınız. Ancak öncelikle birkaç işlem daha yapmanız gerekir:

• OAuth ile güvenliğini sağlamak istediğiniz API proxy'sini oluşturun.
• Erişim jetonu için değiştirmeniz gereken tüketici anahtarı ve tüketici gizli anahtarı ile sonuçlanacak birkaç ek yapay nesne oluşturun.

OAuth ile korunan API proxy'sini oluşturma

Şimdi korumak istediğiniz API proxy'sini oluşturacaksınız. Bu, istediğiniz bir şeyi döndüren API çağrısıdır. Bu durumda, API proxy'si IP adresinizi döndürmek için Apigee'nin mocktarget hizmetini çağırır. ANCAK, bu yanıtı yalnızca API çağrınızla birlikte geçerli bir OAuth erişim jetonu iletirseniz görürsünüz.

Burada oluşturduğunuz API proxy'si, istekte OAuth jetonu olup olmadığını kontrol eden bir politika içerir.

1. Soldaki gezinme çubuğunda Geliştir > API Prox'ileri'ni seçin.
2. + Proxy'yi tıklayın.
   
3. Proxy Oluşturma sihirbazında Ters proxy (en yaygın) seçeneğini belirleyin ve İleri'yi tıklayın.
4. Proxy'yi aşağıdakilerle yapılandırın:
   

   Bu alanda	bunu yap
   Proxy Adı	Şunu girin: helloworld_oauth2
   Project Base Path	Şuna ayarlanacak: /hellooauth2 Proje Temel Yolu, API proxy'sine istekte bulunmak için kullanılan URL'nin bir parçasıdır.
   Mevcut API	Şunu girin: https://mocktarget.apigee.net/ip Bu, Apigee Edge'in API proxy'sine yapılan bir istekte çağırdığı hedef URL'yi tanımlar.
   Açıklama	Şunu girin: hello world protected by OAuth

5. İleri'yi tıklayın.
6. Genel politikalar sayfasında:

   Bu alanda	bunu yap
   Güvenlik: Yetkilendirme	OAuth 2.0'ı seçin.

7. İleri'yi tıklayın.
8. Sanal Ana Makineler sayfasında Sonraki'yi tıklayın.
9. Oluştur sayfasında test ortamının seçili olduğundan emin olun ve Oluştur ve Dağıt'ı tıklayın.
10. Özet sayfasında, yeni API proxy'nizin başarıyla oluşturulduğu ve API proxy'sinin test ortamınıza dağıtıldığına dair bir onay görürsünüz.
11. API proxy'sinin Genel bakış sayfasını görüntülemek için Proxy'yi düzenle'yi tıklayın.
    Bu kez API proxy'sinin otomatik olarak dağıtıldığına dikkat edin. "Test" ortamının yanında yeşil bir dağıtım noktası olduğundan emin olmak için Dağıtım açılır listesini tıklayın.