Защитите API с помощью OAuth

В этом руководстве показано, как защитить API с помощью OAuth 2.0.

OAuth — это протокол авторизации, который позволяет приложениям получать доступ к информации от имени пользователей, не требуя от пользователей раскрытия их имени пользователя и пароля.

При использовании OAuth учетные данные безопасности (такие как имя пользователя/пароль или ключ/секрет) обмениваются на токен доступа. Например:

joe:joes_password (имя пользователя:пароль) или
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

получается что-то вроде:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Токен доступа представляет собой случайную строку символов и является временным (он должен истечь через относительно короткое время), поэтому его передача для аутентификации пользователя в рабочем процессе приложения гораздо безопаснее, чем передача реальных учетных данных.

Спецификация OAuth 2.0 определяет различные механизмы, называемые «типами предоставления», для распространения токенов доступа для приложений. Самый базовый тип предоставления, определенный в OAuth 2.0, называется «учетные данные клиента». В этом типе предоставления токены доступа OAuth генерируются в обмен на учетные данные клиента, которые представляют собой пары ключ/секрет потребителя, как в приведенном выше примере.

В Edge тип предоставления учетных данных клиента реализуется с помощью политик в API-прокси. Типичный процесс OAuth включает два шага:

• Для генерации токена доступа OAuth на основе учетных данных клиента вызовите API-прокси 1. Обработка этого процесса осуществляется политикой OAuth v2.0 на API-прокси.
• Для отправки токена доступа OAuth в вызове API используйте API-прокси 2. API-прокси проверяет токен доступа, используя политику OAuth версии 2.0.

Что вам понадобится

• Учетная запись Apigee Edge. Если у вас ее еще нет, вы можете зарегистрироваться, следуя инструкциям в разделе «Создание учетной записи Apigee Edge» .
• Для выполнения вызовов API из командной строки на вашем компьютере должен быть установлен cURL .

Загрузите и разверните прокси-сервер API для генерации токенов.

На этом шаге вы создадите API-прокси, который генерирует токен доступа OAuth на основе ключа и секрета потребителя, отправленных в вызове API. Apigee предоставляет пример API-прокси, который это делает. Сейчас вы загрузите и развернете прокси, а затем будете использовать его позже в этом руководстве. (Вы можете легко создать этот API-прокси самостоятельно. Этот шаг загрузки и развертывания предназначен для удобства и для демонстрации того, насколько легко делиться уже созданными прокси.)

1. Загрузите ZIP-файл с примером API-прокси 'oauth' в любую директорию вашей файловой системы.
2. Перейдите по ссылке https://apigee.com/edge и войдите в систему.
3. В левой панели навигации выберите «Разработка» > «API-прокси» .
4. Click + Proxy .
   
5. В мастере создания прокси нажмите кнопку «Загрузить пакет прокси» .
6. Выберите загруженный файл oauth.zip и нажмите «Далее» .
7. Нажмите «Создать» .
8. После завершения сборки нажмите «Редактировать прокси» , чтобы просмотреть новый прокси в редакторе API-прокси.
9. На странице «Обзор» редактора API-прокси щелкните раскрывающийся список «Развертывание » и выберите «Тест» . Это тестовая среда в вашей организации.
   
   В ответ на запрос подтверждения нажмите «Развернуть» .
   При повторном нажатии на выпадающее меню «Развертывание» появляется зеленый значок, указывающий на то, что прокси-сервер развернут в тестовой среде.
   

Отлично! Вы успешно загрузили и развернули API-прокси для генерации токенов доступа в вашей организации Edge.

Ознакомьтесь с алгоритмом и политикой аутентификации OAuth.

Давайте подробнее рассмотрим, что содержит API-прокси.

1. В редакторе API-прокси перейдите на вкладку «Разработка» . В левой панели «Навигатор» вы увидите две политики. Также в разделе Proxy Endpoints вы увидите два потока POST .

2. В разделе Proxy Endpoints нажмите AccessTokenClientCredential .
   

   В представлении XML-кода вы увидите Flow под названием AccessTokenClientCredential :

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Поток — это этап обработки в API-прокси. В данном случае поток запускается при выполнении определенного условия (он называется условным потоком ). Условие, определенное в элементе <Condition> , гласит, что если вызов API-прокси выполняется к ресурсу /accesstoken , и глагол запроса — POST , то следует выполнить политику GenerateAccessTokenClient , которая генерирует токен доступа.

3. Теперь давайте рассмотрим политику, которую запустит условный поток. Щелкните значок политики GenerateAccessTokenClient на диаграмме потока.
   
   В представление кода загружается следующая XML-конфигурация:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   В конфигурацию входят следующие компоненты:

   • Параметр <Operation> , который может принимать одно из нескольких предопределенных значений, определяет, что будет делать политика. В данном случае она будет генерировать токен доступа.
   • Срок действия токена истечет через 1 час (3600000 миллисекунд) после его генерации.
   • В разделе <SupportedGrantTypes> ожидается использование OAuth <GrantType> типа client_credentials (обмен ключа и секрета потребителя на токен OAuth).
   • Второй элемент <GrantType> указывает политике, где искать параметр типа предоставления доступа в вызове API, как того требует спецификация OAuth 2.0. (Вы увидите это в вызове API позже). Тип предоставления доступа также может быть передан в заголовке HTTP ( request.header.grant_type ) или в качестве параметра формы ( request.formparam.grant_type ).

В данный момент вам больше ничего не нужно делать с API-прокси. На следующих этапах вы будете использовать этот API-прокси для генерации токена доступа OAuth. Но сначала вам нужно сделать еще несколько вещей:

• Создайте API-прокси, который вы действительно хотите защитить с помощью OAuth.
• Создайте еще несколько артефактов, которые позволят получить ключ потребителя и секрет потребителя, необходимые для обмена на токен доступа.

Создайте прокси-сервер API, защищенный протоколом OAuth.

Теперь вам нужно создать API-прокси, который вы хотите защитить. Это вызов API, который возвращает нужный вам результат. В данном случае API-прокси будет обращаться к сервису mocktarget от Apigee для возврата вашего IP-адреса. НО вы сможете увидеть его только в том случае, если передадите действительный токен доступа OAuth вместе с вызовом API.

Созданный вами здесь API-прокси будет включать политику, которая проверяет наличие токена OAuth в запросе.

1. В левой панели навигации выберите «Разработка» > «API-прокси» .
2. Click + Proxy .
   
3. В мастере создания прокси-сервера выберите «Обратный прокси» (наиболее распространенный вариант) и нажмите «Далее» .
4. Настройте прокси-сервер следующим образом:
   

   В этой области	сделайте это
   Имя прокси	Введите: helloworld_oauth2
   Базовый путь проекта	Изменить на: /hellooauth2 Базовый путь проекта является частью URL-адреса, используемого для отправки запросов к API-прокси.
   Существующий API	Введите: https://mocktarget.apigee.net/ip Это определяет целевой URL-адрес, который Apigee Edge вызывает при запросе к API-прокси.
   Описание	Введите: hello world protected by OAuth

5. Нажмите «Далее» .
6. На странице «Общие правила» :

   В этой области	сделайте это
   Безопасность: Авторизация	Выберите: OAuth 2.0

7. Нажмите «Далее» .
8. На странице «Виртуальные хосты» нажмите «Далее» .
9. На странице «Сборка» убедитесь, что выбрана тестовая среда, и нажмите «Создать и развернуть» .
10. На странице «Сводка» вы увидите подтверждение того, что ваш новый API-прокси был успешно создан и развернут в вашей тестовой среде.
11. Нажмите «Редактировать прокси» , чтобы отобразить страницу обзора API-прокси.
    Обратите внимание, что на этот раз API-прокси развертывается автоматически. Щелкните раскрывающийся список «Развертывание», чтобы убедиться, что рядом со средой «тестирование» стоит зеленая точка развертывания.