Proteggi un'API con OAuth

Questo tutorial mostra come proteggere un'API con OAuth 2.0.

OAuth è un protocollo di autorizzazione che consente alle app di accedere alle informazioni per conto di agli utenti senza richiedere loro di divulgare il loro nome utente e la loro password.

Con OAuth, le credenziali di sicurezza (come nome utente/password o chiave/segreto) vengono scambiate per un token di accesso. Ad esempio:

joe:joes_password (username:password) o
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:segreto)

diventa qualcosa del tipo:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Il token di accesso è una stringa casuale di caratteri ed è temporaneo (dovrebbe scadere dopo per un periodo di tempo relativamente breve), quindi passarlo per autenticare un utente nel flusso di lavoro di un'app è molto più sicuro rispetto alla trasmissione delle credenziali vere e proprie.

Il protocollo OAuth 2.0 specifica definisce diversi meccanismi, chiamati "tipi di concessioni", per la distribuzione dell'accesso di token per le app. Il tipo di autorizzazione più basilare definito da OAuth 2.0 è chiamato "client credenziali". In questo tipo di autorizzazione, i token di accesso OAuth vengono generati in cambio del client , che sono coppie chiave/segreto utente, come nell'esempio riportato sopra.

Il tipo di concessione delle credenziali client in Edge viene implementato utilizzando i criteri nei proxy API. R il flusso OAuth tipico prevede due passaggi:

• Chiama il proxy API 1 per generare un token di accesso OAuth dal client e credenziali. Un criterio OAuth 2.0 sul proxy API gestisce questa operazione.
• Chiama il proxy API 2 per inviare il token di accesso OAuth in una chiamata API. La Il proxy API verifica il token di accesso utilizzando un criterio OAuth 2.0.

Che cosa ti serve

• Un account Apigee Edge. Se non ne hai ancora uno, puoi registrarti seguendo le indicazioni stradali. alla pagina Creazione di un modello Apigee Account Edge.
• cURL installato sulla tua macchina per effettuare chiamate API dalla riga di comando.

Scarica ed esegui il deployment di un'API per la generazione di token proxy

In questo passaggio creerai il proxy API che genera un token di accesso OAuth da un consumer key e consumer secret inviati in una chiamata API. Apigee fornisce un proxy API di esempio in questo modo. Ora scaricherai ed eseguirai il deployment del proxy, per poi utilizzarlo più avanti nel tutorial. (tu potresti creare facilmente questo proxy API. Questo passaggio di download e deployment è utile e mostrarti quanto è facile condividere i proxy già creati.

1. Scarica il file "oauth" file ZIP del proxy API di esempio in qualsiasi directory del file di un sistema operativo completo.
2. Vai all'indirizzo https://apigee.com/edge e accedi.
3. Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
4. Fai clic su + Proxy.
   
5. Nella procedura guidata Crea proxy, fai clic su Carica bundle proxy.
6. Scegli il file oauth.zip che hai scaricato e fai clic su Avanti.
7. Fai clic su Crea.
8. Al termine della build, fai clic su Modifica proxy per visualizzare il nuovo proxy. nell'editor proxy API.
9. Nella pagina Panoramica dell'editor proxy API, fai clic sul menu a discesa Deployment. e seleziona test. Questo è l'ambiente di test nella tua organizzazione.
   
   Al prompt di conferma, fai clic su Esegui il deployment.
   Quando fai di nuovo clic sul menu a discesa Deployment, un'icona verde indica che il proxy è il deployment nell'ambiente di test.
   

Complimenti! Hai scaricato ed eseguito il deployment di un'API per la generazione di token di accesso proxy alla tua organizzazione Edge.

Visualizza il flusso e il criterio OAuth

Diamo un'occhiata più da vicino ai contenuti del proxy API.

1. Nell'editor del proxy API, fai clic sulla scheda Sviluppo. Sulla sinistra Barra di navigazione, con due criteri. Vedrai anche due POST dei flussi nella sezione Proxy Endpoints.

2. Fai clic su AccessTokenClientCredential in Proxy Endpoints.
   

   Nella visualizzazione Codice XML, vedrai un Flow chiamato AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Un flusso è una fase di elaborazione in un proxy API. In questo caso, il flusso viene attivato una determinata condizione è soddisfatta (chiamato flusso condizionale). La condizione, definiti in l'elemento <Condition>, indica che se viene effettuata la chiamata proxy API la risorsa /accesstoken e il verbo di richiesta è POST, quindi eseguire il criterio GenerateAccessTokenClient, che genera l'accesso di accesso.

3. Ora diamo un'occhiata al criterio che verrà attivato dal flusso condizionale. Fai clic sull' Icona del criterio GenerateAccessTokenClient nel diagramma di flusso.
   
   Nella Visualizzazione codice viene caricata la seguente configurazione XML:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   La configurazione include:

   • <Operation>, che può essere uno dei vari valori predefiniti, che cosa farà il criterio. In questo caso, genererà un accesso di accesso.
   • Il token scadrà 1 ora (3600000 millisecondi) dopo essere stato generato.
   • In <SupportedGrantTypes>, il token OAuth Il valore di <GrantType> dovrebbe essere utilizzato (client_credentials) (scambio di una chiave utente e di un segreto con un token OAuth).
   • Il secondo elemento <GrantType> indica al criterio dove cercare la chiamata API per il parametro del tipo di autorizzazione, come richiesto dalla specifica OAuth 2.0. (questo sarà visualizzato più avanti nella chiamata API). Il tipo di concessione può essere inviato anche nella richiesta intestazione (request.header.grant_type) o come parametro del modulo (request.formparam.grant_type).

Al momento non devi fare altro con il proxy API. Nei passaggi successivi, utilizzerai questo proxy API per generare un token di accesso OAuth. Ma prima devi eseguire alcune altre cose:

• Crea il proxy API che vuoi effettivamente proteggere con OAuth.
• Crea alcuni altri artefatti che produrranno la chiave utente e il segreto utente devi scambiare un token di accesso.

Crea il proxy API protetto da OAuth

Ora creerai il proxy API da proteggere. Questa è la chiamata API restituisce un elemento. In questo caso, il proxy API chiamerà il servizio mocktarget di Apigee per restituire il tuo indirizzo IP. MA, potrai vederlo solo se passi un accesso OAuth valido con la tua chiamata API.

Il proxy API che crei qui includerà un criterio che verifica la presenza di un token OAuth nel richiesta.

1. Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
2. Fai clic su + Proxy.
   
3. Nella procedura guidata Crea un proxy, seleziona Inverti proxy (più comune). e fai clic su Avanti.
4. Configura il proxy con quanto segue:
   

   In questo campo	fai questo
   Nome proxy	Inserisci: helloworld_oauth2
   Percorso di base del progetto	Cambia in: /hellooauth2 Il percorso di base del progetto fa parte dell'URL utilizzato per effettuare richieste all'API proxy.
   API esistente	Inserisci: https://mocktarget.apigee.net/ip Definisce l'URL di destinazione che Apigee Edge richiama in una richiesta all'API proxy.
   Descrizione	Inserisci: hello world protected by OAuth

5. Fai clic su Avanti.
6. Nella pagina Norme comuni:

   In questo campo	fai questo
   Sicurezza: autorizzazione	Seleziona OAuth 2.0

7. Fai clic su Avanti.
8. Nella pagina Host virtuali, fai clic su Avanti.
9. Nella pagina Crea, assicurati che sia selezionato l'ambiente di test e fai clic su Crea ed esegui il deployment.
10. Nella pagina Riepilogo, viene confermato che il nuovo proxy API sia stato creato correttamente e che il deployment del proxy API sia stato eseguito nel test completamente gestito di Google Cloud.
11. Fai clic su Modifica proxy per visualizzare la pagina Panoramica per il proxy API.
    Tieni presente che questa volta viene eseguito automaticamente il deployment del proxy API. Fai clic sul pulsante menu a discesa per assicurarti che accanto a "test" sia presente un punto di deployment verde completamente gestito di Google Cloud.