Proteggi un'API con OAuth

Questo tutorial mostra come proteggere un'API con OAuth 2.0.

OAuth è un protocollo di autorizzazione che consente alle app di accedere alle informazioni per conto degli utenti senza richiedere loro di divulgare il nome utente e la password.

Con OAuth, le credenziali di sicurezza (come nome utente/password o chiave/secret) vengono scambiate con un token di accesso. Ad esempio:

joe:joes_password (username:password) o
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

diventa qualcosa del tipo:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Il token di accesso è una stringa casuale di caratteri ed è temporaneo (deve scadere dopo un periodo di tempo relativamente breve), quindi passarlo per autenticare un utente in un flusso di lavoro dell'app è molto più sicuro che passare le credenziali effettive.

La specifica OAuth 2.0 definisce diversi meccanismi, chiamati "tipi di concessione", per distribuire i token di accesso per le app. Il tipo di concessione più semplice definito da OAuth 2.0 è chiamato "credenziali client". In questo tipo di concessione, i token di accesso OAuth vengono generati in cambio delle credenziali client, ovvero coppie di chiave utente/secret utente, come nell'esempio precedente.

Il tipo di concessione delle credenziali client in Edge viene implementato utilizzando criteri nei proxy API. Un tipico flusso OAuth prevede due passaggi:

• Chiama il proxy API 1 per generare un token di accesso OAuth dalle credenziali client. A questo scopo, viene utilizzata una norma OAuth v2.0 sul proxy API.
• Chiama il proxy API 2 per inviare il token di accesso OAuth in una chiamata API. Il proxy API verifica il token di accesso utilizzando una policy OAuth v2.0.

Che cosa ti serve

• Un account Apigee Edge. Se non ne hai ancora uno, puoi registrarti seguendo le istruzioni in Creazione di un account Apigee Edge.
• cURL installato sulla tua macchina per effettuare chiamate API dalla riga di comando.

Scarica ed esegui il deployment di un proxy API che genera token

In questo passaggio, creerai il proxy API che genera un token di accesso OAuth da una chiave utente e un segreto utente inviati in una chiamata API. Apigee fornisce un proxy API di esempio che lo fa. Ora scaricherai e implementerai il proxy, che utilizzerai più avanti nel tutorial. (Puoi creare facilmente questo proxy API da solo. Questo passaggio di download e implementazione è per comodità e per mostrarti quanto sia facile condividere i proxy già creati.

1. Scarica il file ZIP del proxy API di esempio "oauth" in qualsiasi directory del file system.
2. Vai all'indirizzo https://apigee.com/edge e accedi.
3. Seleziona Sviluppa > Proxy API nella barra di navigazione a sinistra.
4. Fai clic su + Proxy.
   
5. Nella procedura guidata Crea proxy, fai clic su Carica bundle proxy.
6. Scegli il file oauth.zip che hai scaricato e fai clic su Avanti.
7. Fai clic su Crea.
8. Al termine della build, fai clic su Modifica proxy per visualizzare il nuovo proxy nell'editor proxy API.
9. Nella pagina Panoramica dell'editor proxy API, fai clic sul menu a discesa Deployment e seleziona test. Questo è l'ambiente di test della tua organizzazione.
   
   Al prompt di conferma, fai clic su Implementa.
   Quando fai di nuovo clic sul menu a discesa Deployment, un'icona verde indica che il proxy è stato implementato nell'ambiente di test.
   

Complimenti! Hai scaricato ed eseguito correttamente il deployment di un proxy API per la generazione di token di accesso nella tua organizzazione Edge.

Visualizza il flusso e le norme OAuth

Diamo un'occhiata più da vicino ai contenuti del proxy API.

1. Nell'editor proxy API, fai clic sulla scheda Sviluppa. Nel riquadro Navigator a sinistra, vedrai due policy. Vedrai anche due flussi POST nella sezione Proxy Endpoints.

2. Fai clic su AccessTokenClientCredential in Proxy Endpoints.
   

   Nella visualizzazione del codice XML, vedrai un Flow chiamato AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Un flusso è un passaggio di elaborazione in un proxy API. In questo caso, il flusso viene attivato quando viene soddisfatta una determinata condizione (si chiama flusso condizionale). La condizione, definita nell'elemento <Condition>, indica che se la chiamata al proxy API viene effettuata alla risorsa /accesstoken e il verbo della richiesta è POST, esegui il criterio GenerateAccessTokenClient, che genera il token di accesso.

3. Ora vediamo il criterio che attiverà il flusso condizionale. Fai clic sull'icona del criterio GenerateAccessTokenClient nel diagramma di flusso.
   
   La seguente configurazione XML viene caricata nella visualizzazione del codice:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   La configurazione include quanto segue:

   • <Operation>, che può essere uno dei diversi valori predefiniti, definisce cosa farà la policy. In questo caso, genererà un token di accesso.
   • Il token scadrà 1 ora (3600000 millisecondi) dopo essere stato generato.
   • In <SupportedGrantTypes>, l'<GrantType> OAuth che dovrebbe essere utilizzato è client_credentials (scambio di una chiave utente e di un secret con un token OAuth).
   • Il secondo elemento <GrantType> indica alla policy dove cercare nella chiamata API il parametro del tipo di concessione, come richiesto dalla specifica OAuth 2.0. Lo vedrai più avanti nella chiamata API. Il tipo di concessione può essere inviato anche nell'intestazione HTTP (request.header.grant_type) o come parametro del modulo (request.formparam.grant_type).

Al momento non devi fare altro con il proxy API. Nei passaggi successivi, utilizzerai questo proxy API per generare un token di accesso OAuth. Prima, però, devi fare altre cose:

• Crea il proxy API che vuoi proteggere con OAuth.
• Crea altri artefatti che genereranno la chiave utente e il secret consumer che devi scambiare con un token di accesso.

Crea il proxy API protetto da OAuth

Ora creerai il proxy API che vuoi proteggere. Questa è la chiamata API che restituisce qualcosa che ti interessa. In questo caso, il proxy API chiamerà il servizio mocktarget di Apigee per restituire il tuo indirizzo IP. Tuttavia, potrai visualizzarlo solo se passi un token di accesso OAuth valido con la chiamata API.

Il proxy API che crei qui includerà una policy che verifica la presenza di un token OAuth nella richiesta.

1. Seleziona Sviluppa > Proxy API nella barra di navigazione a sinistra.
2. Fai clic su + Proxy.
   
3. Nella procedura guidata Crea un proxy, seleziona Proxy inverso (il più comune) e fai clic su Avanti.
4. Configura il proxy con quanto segue:
   

   In questo campo	Fai questo
   Nome proxy	Inserisci: helloworld_oauth2
   Project Base Path	Cambia con: /hellooauth2 Il percorso di base del progetto fa parte dell'URL utilizzato per effettuare richieste al proxy API.
   API esistente	Inserisci: https://mocktarget.apigee.net/ip Definisce l'URL di destinazione che Apigee Edge richiama in una richiesta al proxy API.
   Descrizione	Inserisci: hello world protected by OAuth

5. Fai clic su Avanti.
6. Nella pagina Policy comuni:

   In questo campo	Fai questo
   Sicurezza: autorizzazione	Seleziona OAuth 2.0.

7. Fai clic su Avanti.
8. Nella pagina Virtual Hosts (Host virtuali), fai clic su Avanti.
9. Nella pagina Build, verifica che sia selezionato l'ambiente test e fai clic su Crea e implementa.
10. Nella pagina Riepilogo, viene visualizzata una conferma che il nuovo proxy API è stato creato correttamente e che è stato eseguito il deployment nell'ambiente di test.
11. Fai clic su Modifica proxy per visualizzare la pagina Panoramica del proxy API.
    Tieni presente che questa volta il proxy API viene implementato automaticamente. Fai clic sul menu a discesa Deployment per assicurarti che accanto all'ambiente "test" sia presente un punto verde di deployment.