OAuth का इस्तेमाल करके एपीआई को सुरक्षित बनाएं

इस ट्यूटोरियल में, OAuth 2.0 की मदद से किसी एपीआई को सुरक्षित करने का तरीका बताया गया है.

OAuth, अनुमति देने वाला एक प्रोटोकॉल है. इसकी मदद से ऐप्लिकेशन, उपयोगकर्ताओं की ओर से जानकारी ऐक्सेस कर सकते हैं. इसके लिए, उपयोगकर्ताओं को अपना उपयोगकर्ता नाम और पासवर्ड बताने की ज़रूरत नहीं होती.

OAuth की मदद से, सुरक्षा क्रेडेंशियल (जैसे कि उपयोगकर्ता नाम/पासवर्ड या कुंजी/सीक्रेट) को ऐक्सेस टोकन के लिए एक्सचेंज किया जाता है. उदाहरण के लिए:

joe:joes_password (username:password) या
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

कुछ इस तरह का हो जाता है:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

ऐक्सेस टोकन, वर्णों की एक रैंडम स्ट्रिंग होती है और यह कुछ समय के लिए मान्य होता है. यह कुछ समय बाद खत्म हो जाता है. इसलिए, ऐप्लिकेशन के वर्कफ़्लो में किसी उपयोगकर्ता की पुष्टि करने के लिए, इसे शेयर करना, असली क्रेडेंशियल शेयर करने से ज़्यादा सुरक्षित होता है.

OAuth 2.0 स्पेसिफ़िकेशन में, ऐप्लिकेशन के लिए ऐक्सेस टोकन डिस्ट्रिब्यूट करने के अलग-अलग तरीके बताए गए हैं. इन्हें "अनुमति के टाइप" कहा जाता है. OAuth 2.0 के तहत तय किया गया सबसे बुनियादी ग्रांट टाइप, "क्लाइंट क्रेडेंशियल" कहलाता है. इस तरह के ग्रांट टाइप में, OAuth ऐक्सेस टोकन, क्लाइंट क्रेडेंशियल के बदले में जनरेट किए जाते हैं. ये क्रेडेंशियल, उपभोक्ता कुंजी/उपयोगकर्ता सीक्रेट के जोड़े होते हैं. जैसे, ऊपर दिए गए उदाहरण में बताया गया है.

Edge में क्लाइंट क्रेडेंशियल ग्रांट टाइप को, एपीआई प्रॉक्सी में नीतियों का इस्तेमाल करके लागू किया जाता है. OAuth के सामान्य फ़्लो में दो चरण होते हैं:

• क्लाइंट क्रेडेंशियल से OAuth ऐक्सेस टोकन जनरेट करने के लिए, एपीआई प्रॉक्सी 1 को कॉल करें. एपीआई प्रॉक्सी पर OAuth v2.0 की नीति, इसे मैनेज करती है.
• एपीआई कॉल में OAuth ऐक्सेस टोकन भेजने के लिए, एपीआई प्रॉक्सी 2 को कॉल करें. एपीआई प्रॉक्सी, OAuth v2.0 की नीति का इस्तेमाल करके ऐक्सेस टोकन की पुष्टि करती है.

आपको किन चीज़ों की ज़रूरत होगी

• Apigee Edge खाता. अगर आपके पास अब तक ऐसा कोई खाता नहीं है, तो Apigee Edge खाता बनाने के निर्देशों का पालन करके साइन अप करें.
• आपकी मशीन पर cURL इंस्टॉल होना चाहिए, ताकि कमांड लाइन से एपीआई कॉल किए जा सकें.

टोकन जनरेट करने वाले एपीआई प्रॉक्सी को डाउनलोड और डिप्लॉय करना

इस चरण में, आपको एक एपीआई प्रॉक्सी बनानी होगी. यह एपीआई कॉल में भेजी गई उपभोक्ता कुंजी और उपभोक्ता सीक्रेट से, OAuth ऐक्सेस टोकन जनरेट करती है. Apigee, एक सैंपल एपीआई प्रॉक्सी उपलब्ध कराता है. आपको प्रॉक्सी को अभी डाउनलोड और डिप्लॉय करना होगा. इसके बाद, ट्यूटोरियल में इसका इस्तेमाल किया जा सकेगा. (इस एपीआई प्रॉक्सी को खुद ही आसानी से बनाया जा सकता है. डाउनलोड और डिप्लॉय करने का यह चरण, आपकी सुविधा के लिए है. साथ ही, इससे आपको यह पता चलेगा कि पहले से बनाई गई प्रॉक्सी को शेयर करना कितना आसान है.)

1. 'oauth' सैंपल एपीआई प्रॉक्सी की ZIP फ़ाइल को अपने फ़ाइल सिस्टम की किसी भी डायरेक्ट्री में डाउनलोड करें.
2. https://apigee.com/edge पर जाएं और साइन इन करें.
3. बाईं ओर मौजूद नेविगेशन बार में, डेवलप करें > एपीआई प्रॉक्सी चुनें.
4. + प्रॉक्सी पर क्लिक करें.
   
5. प्रॉक्सी बनाएं विज़र्ड में, प्रॉक्सी बंडल अपलोड करें पर क्लिक करें.
6. डाउनलोड की गई oauth.zip फ़ाइल चुनें. इसके बाद, आगे बढ़ें पर क्लिक करें.
7. बनाएं पर क्लिक करें.
8. बिल्ड पूरा होने के बाद, एपीआई प्रॉक्सी एडिटर में नई प्रॉक्सी देखने के लिए, प्रॉक्सी में बदलाव करें पर क्लिक करें.
9. एपीआई प्रॉक्सी एडिटर के खास जानकारी वाले पेज पर, डिप्लॉयमेंट ड्रॉप-डाउन पर क्लिक करें. इसके बाद, test चुनें. यह आपके संगठन का टेस्ट एनवायरमेंट है.
   
   पुष्टि करने के लिए दिए गए प्रॉम्प्ट में, डिप्लॉय करें पर क्लिक करें.
   डिपार्टमेंट ड्रॉप-डाउन पर फिर से क्लिक करने पर, हरे रंग का आइकॉन दिखता है. इससे पता चलता है कि प्रॉक्सी को टेस्ट एनवायरमेंट में डिप्लॉय किया गया है.
   

बहुत खूब! आपने अपने Edge संगठन में, ऐक्सेस टोकन जनरेट करने वाली API प्रॉक्सी को डाउनलोड और डिप्लॉय कर लिया है.

OAuth फ़्लो और नीति देखना

आइए, एपीआई प्रॉक्सी के बारे में ज़्यादा जानें.

1. एपीआई प्रॉक्सी एडिटर में, Develop टैब पर क्लिक करें. बाईं ओर मौजूद Navigator पैनल में, आपको दो नीतियां दिखेंगी. आपको Proxy Endpoints सेक्शन में दो POST फ़्लो भी दिखेंगे.

2. Proxy Endpoints में जाकर, AccessTokenClientCredential पर क्लिक करें.
   

   एक्सएमएल कोड व्यू में, आपको Flow दिखेगा. इसे AccessTokenClientCredential कहा जाता है:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   फ़्लो, एपीआई प्रॉक्सी में प्रोसेसिंग का एक चरण होता है. इस मामले में, किसी शर्त के पूरा होने पर फ़्लो ट्रिगर होता है. इसे शर्त के हिसाब से ट्रिगर होने वाला फ़्लो कहा जाता है. <Condition> एलिमेंट में तय की गई शर्त के मुताबिक, अगर एपीआई प्रॉक्सी कॉल /accesstoken रिसॉर्स को किया जाता है और अनुरोध वर्ब POST है, तो GenerateAccessTokenClient नीति लागू करें. यह नीति, ऐक्सेस टोकन जनरेट करती है.

3. अब उस नीति के बारे में जानते हैं जिसे कंडिशनल फ़्लो ट्रिगर करेगा. फ़्लो डायग्राम में, GenerateAccessTokenClient नीति के आइकॉन पर क्लिक करें.
   
   यहां दिया गया एक्सएमएल कॉन्फ़िगरेशन, कोड व्यू में लोड किया जाता है:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   कॉन्फ़िगरेशन में यह जानकारी शामिल होती है:

   • <Operation>, पहले से तय की गई कई वैल्यू में से एक हो सकता है. यह तय करता है कि नीति क्या करेगी. इस मामले में, यह ऐक्सेस टोकन जनरेट करेगा.
   • टोकन, जनरेट होने के एक घंटे (3600000 मिलीसेकंड) बाद काम नहीं करेगा.
   • <SupportedGrantTypes> में, OAuth <GrantType> का इस्तेमाल किया जाना चाहिए. client_credentials (OAuth टोकन के लिए उपभोक्ता कुंजी और सीक्रेट को एक्सचेंज करना).
   • दूसरा <GrantType> एलिमेंट, नीति को यह बताता है कि OAuth 2.0 की खास बातों के मुताबिक, एपीआई कॉल में अनुमति के टाइप वाले पैरामीटर को कहां देखना है. (आपको यह जानकारी, बाद में एपीआई कॉल में दिखेगी). अनुमति के टाइप को एचटीटीपी हेडर (request.header.grant_type) या फ़ॉर्म पैरामीटर (request.formparam.grant_type) के तौर पर भी भेजा जा सकता है.

फ़िलहाल, आपको एपीआई प्रॉक्सी के साथ कुछ और करने की ज़रूरत नहीं है. बाद के चरणों में, OAuth ऐक्सेस टोकन जनरेट करने के लिए, इस एपीआई प्रॉक्सी का इस्तेमाल किया जाएगा. हालांकि, इससे पहले आपको कुछ और काम करने होंगे:

• वह एपीआई प्रॉक्सी बनाएं जिसे आपको OAuth की मदद से सुरक्षित करना है.
• कुछ और आर्टफ़ैक्ट बनाएं. इससे आपको उपभोक्ता कुंजी और उपभोक्ता सीक्रेट मिलेगा. आपको ऐक्सेस टोकन के लिए इनका इस्तेमाल करना होगा.

OAuth से सुरक्षित एपीआई प्रॉक्सी बनाना

अब आपको वह एपीआई प्रॉक्सी बनानी होगी जिसे सुरक्षित रखना है. यह ऐसा एपीआई कॉल है जो आपकी ज़रूरत के हिसाब से नतीजे दिखाता है. इस मामले में, एपीआई प्रॉक्सी आपके आईपी पते की जानकारी देने के लिए, Apigee की mocktarget सेवा को कॉल करेगी. हालांकि, आपको यह जानकारी सिर्फ़ तब दिखेगी, जब आपने एपीआई कॉल के साथ मान्य OAuth ऐक्सेस टोकन भेजा हो.

यहां बनाई गई एपीआई प्रॉक्सी में एक ऐसी नीति शामिल होगी जो अनुरोध में OAuth टोकन की जांच करती है.

1. बाईं ओर मौजूद नेविगेशन बार में, डेवलप करें > एपीआई प्रॉक्सी चुनें.
2. + प्रॉक्सी पर क्लिक करें.
   
3. प्रॉक्सी बनाएं विज़र्ड में, रिवर्स प्रॉक्सी (सबसे आम) चुनें. इसके बाद, आगे बढ़ें पर क्लिक करें.
4. प्रॉक्सी को इस तरह कॉन्फ़िगर करें:
   

   इस फ़ील्ड में	यह करें
   प्रॉक्सी का नाम	helloworld_oauth2 डालें
   प्रोजेक्ट का बेस पाथ	बदलकर इसे चुनें: /hellooauth2 प्रोजेक्ट का बेस पाथ, एपीआई प्रॉक्सी से अनुरोध करने के लिए इस्तेमाल किए जाने वाले यूआरएल का हिस्सा होता है.
   मौजूदा एपीआई	https://mocktarget.apigee.net/ip डालें इससे उस टारगेट यूआरएल के बारे में पता चलता है जिसे Apigee Edge, एपीआई प्रॉक्सी के लिए किए गए अनुरोध पर कॉल करता है.
   ब्यौरा	hello world protected by OAuth डालें

5. आगे बढ़ें पर क्लिक करें.
6. सामान्य नीतियां पेज पर:

   इस फ़ील्ड में	यह करें
   सुरक्षा: अनुमति	OAuth 2.0 चुनें

7. आगे बढ़ें पर क्लिक करें.
8. वर्चुअल होस्ट पेज पर, आगे बढ़ें पर क्लिक करें.
9. बनाएं पेज पर, पक्का करें कि टेस्ट एनवायरमेंट चुना गया हो. इसके बाद, बनाएं और डिप्लॉय करें पर क्लिक करें.
10. खास जानकारी पेज पर, आपको यह सूचना दिखेगी कि आपकी नई एपीआई प्रॉक्सी बन गई है. साथ ही, यह भी दिखेगा कि एपीआई प्रॉक्सी को आपके टेस्ट एनवायरमेंट में डिप्लॉय कर दिया गया है.
11. एपीआई प्रॉक्सी के लिए खास जानकारी पेज दिखाने के लिए, प्रॉक्सी में बदलाव करें पर क्लिक करें.
    ध्यान दें कि इस बार एपीआई प्रॉक्सी अपने-आप डिप्लॉय हो जाती है. डिप्लॉयमेंट ड्रॉप-डाउन पर क्लिक करें. इससे यह पक्का किया जा सकेगा कि "टेस्ट" एनवायरमेंट के बगल में हरे रंग का डिप्लॉयमेंट डॉट मौजूद है.