تأمين واجهة برمجة تطبيقات باستخدام OAuth

يوضّح لك هذا البرنامج التعليمي كيفية تأمين واجهة برمجة تطبيقات باستخدام بروتوكول OAuth 2.0.

‫OAuth هو بروتوكول تفويض يتيح للتطبيقات الوصول إلى المعلومات نيابةً عن المستخدمين بدون أن يضطروا إلى الكشف عن اسم المستخدم وكلمة المرور.

باستخدام OAuth، يتم تبادل بيانات اعتماد الأمان (مثل اسم المستخدم/كلمة المرور أو المفتاح/السر) مقابل رمز مميز للوصول. على سبيل المثال:

‫joe:joes_password (اسم المستخدم:كلمة المرور) أو
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (المفتاح:السر)

يصبح شيئًا مثل:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

رمز الدخول هو سلسلة عشوائية من الأحرف وهو مؤقت (من المفترض أن تنتهي صلاحيته بعد فترة قصيرة نسبيًا)، لذا فإنّ تمريره للمصادقة على مستخدم في سير عمل أحد التطبيقات أكثر أمانًا من تمرير بيانات الاعتماد الفعلية.

يحدّد مواصفات بروتوكول OAuth 2.0 آليات مختلفة، تُعرف باسم "أنواع منح الإذن"، لتوزيع رموز الدخول للتطبيقات. يُطلق على أبسط نوع من أنواع منح الإذن التي يحدّدها بروتوكول OAuth 2.0 اسم "بيانات اعتماد العميل". في نوع منح الإذن هذا، يتم إنشاء رموز مميّزة للوصول إلى OAuth مقابل بيانات اعتماد العميل، وهي أزواج من مفتاح العميل والرمز السرّي للعميل، مثل المثال أعلاه.

يتم تنفيذ نوع منح بيانات اعتماد العميل في Edge باستخدام سياسات في خوادم وكيلة لواجهة برمجة التطبيقات. تتضمّن عملية OAuth النموذجية خطوتَين:

• استدعِ وكيل واجهة برمجة التطبيقات 1 لإنشاء رمز دخول OAuth من بيانات اعتماد العميل. تتولّى سياسة OAuth الإصدار 2.0 في خادم وكيل لواجهة برمجة التطبيقات معالجة ذلك.
• استدعِ خادم وكيل لواجهة برمجة التطبيقات 2 لإرسال رمز الدخول OAuth في طلب بيانات من واجهة برمجة التطبيقات. يتحقّق خادم وكيل واجهة برمجة التطبيقات من رمز الدخول المميز باستخدام سياسة OAuth 2.0.

المتطلبات

• حساب على Apigee Edge إذا لم يكن لديك حساب، يمكنك الاشتراك باتّباع التعليمات الواردة في إنشاء حساب على Apigee Edge.
• يجب أن يكون لديك cURL مثبّتًا على جهازك لتتمكّن من تقديم طلبات البيانات من واجهة برمجة التطبيقات من سطر الأوامر.

تنزيل ونشر وكيل API لإنشاء الرموز المميزة

في هذه الخطوة، ستنشئ الخادم الوكيل لواجهة برمجة التطبيقات الذي ينشئ رمز الدخول OAuth من مفتاح العميل وسر المستهلك الذي يتم إرسالهما في طلب بيانات من واجهة برمجة التطبيقات. توفّر Apigee نموذجًا لوكيل واجهة برمجة تطبيقات ينفّذ هذه العملية. ستنزّل الوكيل وتنشره الآن، ثم تستخدمه لاحقًا في البرنامج التعليمي. (يمكنك إنشاء خادم وكيل لواجهة برمجة التطبيقات هذا بسهولة بنفسك. هذه الخطوة الخاصة بالتنزيل والنشر هي لتوفير الراحة ولتوضيح مدى سهولة مشاركة الخوادم الوكيلة التي تم إنشاؤها مسبقًا).

1. نزِّل ملف ZIP الخاص بنموذج خادم وكيل لواجهة برمجة التطبيقات oauth إلى أي دليل في نظام الملفات.
2. انتقِل إلى https://apigee.com/edge وسجِّل الدخول.
3. انقر على تطوير > خوادم وكيلة لواجهة برمجة التطبيقات في شريط التنقّل الأيمن.
4. انقر على + خادم وكيل.
   
5. في معالج إنشاء خادم وكيل، انقر على تحميل حزمة الخادم الوكيل.
6. اختَر ملف oauth.zip الذي نزّلته، ثم انقر على التالي.
7. انقر على إنشاء.
8. بعد اكتمال عملية الإنشاء، انقر على تعديل الخادم الوكيل لعرض الخادم الوكيل الجديد في محرّر خادم API الوكيل.
9. في صفحة "نظرة عامة" في محرّر خادم وكيل لواجهة برمجة التطبيقات، انقر على القائمة المنسدلة النشر واختَر اختبار. هذه هي بيئة الاختبار في مؤسستك.
   
   في رسالة التأكيد، انقر على نشر.
   عند النقر على القائمة المنسدلة "النشر" مرة أخرى، يشير رمز أخضر إلى أنّه تم نشر الخادم الوكيل في بيئة الاختبار.
   

أحسنت! لقد نزّلت ونشرت بنجاح وكيل واجهة برمجة تطبيقات لإنشاء رموز مميزة للوصول إلى مؤسستك على Edge.

عرض مسار OAuth والسياسة

لنلقِ نظرة عن كثب على ما يحتويه خادم وكيل لواجهة برمجة التطبيقات.

1. في محرّر خادم وكيل لواجهة برمجة التطبيقات، انقر على علامة التبويب تطوير. في جزء Navigator الأيمن، ستظهر لك سياستان. ستظهر لك أيضًا سلسلتا POST في قسم Proxy Endpoints.

2. انقر على AccessTokenClientCredential ضمن Proxy Endpoints.
   

   في عرض رمز XML، سيظهر لك Flow باسم AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   سير العمل هو خطوة معالجة في خادم وكيل لواجهة برمجة التطبيقات. في هذه الحالة، يتم تشغيل المسار عند استيفاء شرط معيّن (يُطلق عليه المسار الشرطي). يقول الشرط، المحدّد في العنصر <Condition>، أنّه إذا تم إجراء طلب بيانات من خادم وكيل لواجهة برمجة التطبيقات إلى المورد /accesstoken، وكان فعل الطلب هو POST، يتم تنفيذ السياسة GenerateAccessTokenClient التي تنشئ رمز الدخول.

3. لنلقِ نظرة الآن على السياسة التي سيؤدي إليها المسار الشرطي. انقر على رمز سياسة GenerateAccessTokenClient في مخطط سير العمل.
   
   يتم تحميل إعدادات XML التالية في عرض الرمز:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   يتضمّن الإعداد ما يلي:

   • تحدّد السمة <Operation>، التي يمكن أن تكون إحدى القيم المحدّدة مسبقًا، الإجراء الذي ستتخذه السياسة. وفي هذه الحالة، ستنشئ رمزًا مميزًا للوصول.
   • ستنتهي صلاحية الرمز المميّز بعد ساعة واحدة (3,600,000 ملي ثانية) من إنشائه.
   • في <SupportedGrantTypes>، من المتوقّع استخدام <GrantType> OAuth، وهو client_credentials (تبادل مفتاح العميل وسرّ برمز مميّز خاص ببروتوكول OAuth).
   • يخبر عنصر <GrantType> الثاني السياسة بمكان البحث في طلب البيانات من واجهة برمجة التطبيقات عن مَعلمة نوع الإذن، كما هو مطلوب بموجب مواصفات OAuth 2.0. (سيظهر ذلك في طلب البيانات من واجهة برمجة التطبيقات لاحقًا). يمكن أيضًا إرسال نوع الإذن في عنوان HTTP (request.header.grant_type) أو كمَعلمة نموذج (request.formparam.grant_type).

ليس عليك اتّخاذ أي إجراء آخر بشأن خادم وكيل واجهة برمجة التطبيقات في الوقت الحالي. في خطوات لاحقة، ستستخدم خادم وكيل لواجهة برمجة التطبيقات هذا لإنشاء رمز دخول OAuth. ولكن قبل ذلك، عليك تنفيذ بعض الخطوات الإضافية:

• أنشئ خادم وكيل لواجهة برمجة التطبيقات الذي تريد تأمينه باستخدام OAuth.
• أنشئ بعض العناصر الأخرى التي ستؤدي إلى إنشاء مفتاح المستهلك وسر المستهلك اللذين تحتاج إليهما لاستبدالهما برمز مميّز للوصول.

إنشاء خادم وكيل لواجهة برمجة التطبيقات محمي باستخدام OAuth

الآن، ستنشئ خادمًا وكيلاً لواجهة برمجة التطبيقات تريد حمايته. هذا هو طلب البيانات من واجهة برمجة التطبيقات الذي يعرض البيانات التي تريدها. في هذه الحالة، سيطلب خادم وكيل واجهة برمجة التطبيقات خدمة mocktarget من Apigee لعرض عنوان IP الخاص بك. ومع ذلك، لن تتمكّن من رؤيته إلا إذا أرسلت رمز دخول صالحًا من OAuth مع طلب بيانات من واجهة برمجة التطبيقات.

سيتضمّن خادم وكيل واجهة برمجة التطبيقات الذي تنشئه هنا سياسة تتحقّق من توفّر رمز مميّز لبروتوكول OAuth في الطلب.

1. انقر على تطوير > خوادم وكيلة لواجهة برمجة التطبيقات في شريط التنقّل الأيمن.
2. انقر على + خادم وكيل.
   
3. في معالج إنشاء خادم وكيل، اختَر خادم وكيل عكسي (الأكثر شيوعًا)، وانقر على التالي.
4. اضبط الخادم الوكيل باستخدام ما يلي:
   

   في هذا الحقل	اتّبِع الخطوات التالية
   اسم الخادم الوكيل	أدخِل: helloworld_oauth2
   مسار قاعدة المشروع	التغيير إلى: /hellooauth2 يمثّل مسار المشروع الأساسي جزءًا من عنوان URL المستخدَم لإرسال الطلبات إلى خادم وكيل لواجهة برمجة التطبيقات.
   واجهة برمجة التطبيقات الحالية	أدخِل: https://mocktarget.apigee.net/ip تحدّد هذه السمة عنوان URL المستهدف الذي يستدعيه Apigee Edge عند إرسال طلب إلى خادم وكيل لواجهة برمجة التطبيقات.
   الوصف	أدخِل: hello world protected by OAuth

5. انقر على التالي.
6. في صفحة السياسات الشائعة:

   في هذا الحقل	اتّبِع الخطوات التالية
   الأمان: التفويض	اختَر: OAuth 2.0

7. انقر على التالي.
8. في صفحة المضيفات الافتراضية، انقر على التالي.
9. في صفحة إنشاء، تأكَّد من اختيار بيئة الاختبار، ثم انقر على إنشاء ونشر.
10. في صفحة الملخّص، سيظهر إقرار بأنّه تم إنشاء خادم وكيل جديد لواجهة برمجة التطبيقات بنجاح، وأنّه تم نشر خادم وكيل لواجهة برمجة التطبيقات في بيئة الاختبار.
11. انقر على تعديل الخادم الوكيل لعرض صفحة نظرة عامة لخادم واجهة برمجة التطبيقات الوكيل.
    يُرجى العِلم أنّه يتم في هذه المرة نشر خادم وكيل لواجهة برمجة التطبيقات تلقائيًا. انقر على القائمة المنسدلة "النشر" (Deployment) للتأكّد من ظهور نقطة نشر خضراء بجانب بيئة "الاختبار" (test).