Как защитить API с помощью OAuth

В этом руководстве рассказывается, как защитить API с помощью OAuth 2.0.

OAuth – это протокол авторизации, который позволяет приложениям получать доступ к информации от имени пользователей без необходимости раскрывать имя пользователя и пароль.

При использовании OAuth учетные данные безопасности (например, имя пользователя и пароль или ключ и секрет) обмениваются на токен доступа. Пример:

joe:joes_password (имя пользователя:пароль) или
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (ключ:секрет)

будет выглядеть примерно так:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Токен доступа – это случайная строка символов, которая действует ограниченное время. Поэтому передавать его для аутентификации пользователя в рабочем процессе приложения гораздо безопаснее, чем передавать учетные данные.

В спецификации OAuth 2.0 определены различные механизмы, называемые типами предоставления, для распространения токенов доступа для приложений. Самый простой тип разрешения на доступ, определенный протоколом OAuth 2.0, называется "учетные данные клиента". При этом типе авторизации токены доступа OAuth генерируются в обмен на учетные данные клиента, которые представляют собой пары "идентификатор клиента/секретный ключ клиента", как в примере выше.

В Edge тип предоставления учетных данных клиента реализован с помощью правил в прокси API. Типичный поток OAuth состоит из двух этапов:

• Вызовите прокси-сервер API 1, чтобы создать токен доступа OAuth на основе учетных данных клиента. Это можно сделать с помощью правила OAuth v2.0 для прокси-сервера API.
• Вызовите прокси-сервер API 2, чтобы отправить токен доступа OAuth в вызове API. Прокси-сервер API проверяет токен доступа с помощью правила OAuth версии 2.0.

Что вам понадобится

• Аккаунт Apigee Edge. Если у вас его ещё нет, вы можете зарегистрироваться, следуя инструкциям в разделе Создание аккаунта Apigee Edge.
• На вашем компьютере должна быть установлена утилита cURL, чтобы вы могли выполнять вызовы API из командной строки.

Скачайте и разверните прокси API, генерирующий токены

На этом шаге вы создадите прокси-сервер API, который будет генерировать токен доступа OAuth на основе идентификатора клиента и секретного кода клиента, отправленных в вызове API. Apigee предоставляет пример прокси-сервера API, который выполняет эту задачу. Сейчас вы скачаете и развернете прокси, а затем будете использовать его в руководстве. (Вы можете легко создать этот прокси-сервер API самостоятельно. Этот шаг по скачиванию и развертыванию выполняется для удобства и чтобы показать, как легко делиться уже созданными прокси-серверами.

1. Скачайте ZIP-файл с примером прокси-сервера API oauth в любой каталог файловой системы.
2. Откройте страницу https://apigee.com/edge и войдите в аккаунт.
3. На панели навигации слева выберите Develop > API Proxies (Разработка > Прокси API).
4. Нажмите + Прокси.
   
5. В мастере Создание прокси-сервера нажмите Загрузить пакет прокси-сервера.
6. Выберите скачанный файл oauth.zip и нажмите Далее.
7. Нажмите Создать.
8. После завершения сборки нажмите Изменить прокси, чтобы посмотреть новый прокси в редакторе прокси API.
9. На странице Overview (Обзор) редактора прокси API нажмите на раскрывающееся меню Deployment (Развертывание) и выберите test (тест). Это тестовая среда в вашей организации.
   
   В окне подтверждения нажмите Развернуть.
   Если вы снова нажмете на раскрывающийся список "Развертывание", то увидите зеленый значок, который означает, что прокси-сервер развернут в тестовой среде.
   

Так держать! Вы успешно скачали и развернули прокси API для создания токенов доступа в организации Edge.

Как посмотреть поток OAuth и правила

Давайте посмотрим, что входит в прокси-сервер API.

1. В редакторе прокси-сервера API нажмите на вкладку Разработка. На панели Navigator слева вы увидите два правила. В разделе Proxy Endpoints также будут представлены два потока POST.

2. Нажмите AccessTokenClientCredential под Proxy Endpoints.
   

   В XML-коде вы увидите Flow с названием AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Поток – это этап обработки в прокси-сервере API. В этом случае процесс запускается при выполнении определенного условия (условный процесс). Условие, определенное в элементе <Condition>, гласит, что если вызов прокси-сервера API выполняется к ресурсу /accesstoken и глагол запроса – POST, то выполняется правило GenerateAccessTokenClient, которое создает токен доступа.

3. Теперь давайте посмотрим на правила, которые будут активированы условным процессом. Нажмите на значок правила GenerateAccessTokenClient на диаграмме потока.
   
   В представление кода загружается следующая конфигурация XML:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Конфигурация включает следующие элементы:

   • <Operation> – одно из нескольких предопределенных значений, которое определяет, что будет делать правило. В этом случае оно будет генерировать токен доступа.
   • Срок действия токена истекает через час (3 600 000 миллисекунд) после создания.
   • В <SupportedGrantTypes> ожидается использование OAuth <GrantType> client_credentials (обмен идентификатором клиента и секретом на токен OAuth).
   • Второй элемент <GrantType> указывает правилу, где в вызове API искать параметр типа предоставления, как того требует спецификация OAuth 2.0. (Вы увидите это в вызове API позже). Тип авторизации также можно передать в заголовке HTTP (request.header.grant_type) или в качестве параметра формы (request.formparam.grant_type).

Пока с прокси-сервером API ничего делать не нужно. На последующих этапах вы будете использовать этот прокси-сервер API для создания токена доступа OAuth. Но сначала вам нужно сделать следующее:

• Создайте прокси-сервер API, который вы хотите защитить с помощью OAuth.
• Создайте ещё несколько объектов, которые позволят получить идентификатор клиента и секретный ключ потребителя, необходимые для обмена на токен доступа.

Как создать прокси-сервер API с защитой OAuth

Теперь вы создадите прокси-сервер API, который хотите защитить. Это вызов API, который возвращает нужные вам данные. В этом случае прокси-сервер API вызовет сервис mocktarget Apigee, чтобы вернуть ваш IP-адрес. Но вы сможете увидеть его, только если передадите действительный токен доступа OAuth вместе с вызовом API.

Созданный вами прокси-сервер API будет включать правило, которое проверяет наличие токена OAuth в запросе.

1. На панели навигации слева выберите Develop > API Proxies (Разработка > Прокси API).
2. Нажмите + Прокси.
   
3. В мастере Build a Proxy (Создание прокси-сервера) выберите Reverse proxy (most common) (Обратный прокси-сервер (наиболее распространенный)) и нажмите Next (Далее).
4. Настройте прокси-сервер, используя следующие данные:
   

   В этом поле	выполните следующие действия
   Название прокси-сервера	Введите: helloworld_oauth2.
   Базовый путь к проекту	Новый вариант: /hellooauth2. Базовый путь проекта – это часть URL, используемого для отправки запросов к прокси API.
   Существующий API	Введите: https://mocktarget.apigee.net/ip. Это целевой URL, который Apigee Edge вызывает при запросе к прокси API.
   Описание	Введите: hello world protected by OAuth.

5. Нажмите Далее.
6. На странице Общие правила:

   В этом поле	выполните следующие действия
   Безопасность: авторизация	Выберите OAuth 2.0.

7. Нажмите Далее.
8. На странице Виртуальные хосты нажмите Далее.
9. На странице Build (Создать) убедитесь, что выбран тестовый режим, и нажмите Create and Deploy (Создать и развернуть).
10. На странице Summary (Сводка) вы увидите подтверждение того, что новый прокси-сервер API создан и развернут в тестовой среде.
11. Нажмите Edit proxy (Изменить прокси), чтобы открыть страницу Overview (Обзор) для прокси-сервера API.
    Обратите внимание, что на этот раз прокси-сервер API развертывается автоматически. Нажмите на раскрывающийся список "Развертывание" и убедитесь, что рядом с тестовой средой есть зеленый значок развертывания.