รักษาความปลอดภัย API ด้วย OAuth

บทแนะนำนี้จะแสดงวิธีรักษาความปลอดภัยของ API ด้วย OAuth 2.0

OAuth เป็นโปรโตคอลการให้สิทธิ์ที่ช่วยให้แอปเข้าถึงข้อมูลในนามของผู้ใช้ได้โดยไม่ต้องให้ผู้ใช้เปิดเผยชื่อผู้ใช้และรหัสผ่าน

เมื่อใช้ OAuth ระบบจะแลกเปลี่ยนข้อมูลเข้าสู่ระบบความปลอดภัย (เช่น ชื่อผู้ใช้/รหัสผ่านหรือคีย์/ข้อมูลลับ) เป็นโทเค็นเพื่อการเข้าถึง เช่น

joe:joes_password (username:password) หรือ
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

กลายเป็น

b0uiYwjRZLEo4lEu7ky2GGxHkanN

โทเค็นเพื่อการเข้าถึงเป็นสตริงอักขระแบบสุ่มและเป็นโทเค็นชั่วคราว (ควรหมดอายุหลังจากผ่านไประยะเวลาหนึ่ง) ดังนั้นการส่งโทเค็นเพื่อการเข้าถึงไปมาเพื่อตรวจสอบสิทธิ์ผู้ใช้ในเวิร์กโฟลว์ของแอปจึงปลอดภัยกว่าการส่งข้อมูลเข้าสู่ระบบจริงไปมามาก

ข้อกำหนด OAuth 2.0กำหนดกลไกต่างๆ ที่เรียกว่า "ประเภทการให้สิทธิ์" สำหรับการแจกจ่ายโทเค็นเพื่อการเข้าถึง สำหรับแอป ประเภทการให้สิทธิ์พื้นฐานที่สุดที่กำหนดโดย OAuth 2.0 เรียกว่า "ข้อมูลเข้าสู่ระบบ ไคลเอ็นต์" ในประเภทการให้สิทธิ์นี้ ระบบจะสร้างโทเค็นเพื่อการเข้าถึง OAuth เพื่อแลกกับข้อมูลเข้าสู่ระบบของไคลเอ็นต์ ซึ่งเป็นคู่คีย์ผู้ใช้/ข้อมูลลับของผู้ใช้ เช่น ตัวอย่างด้านบน

มีการใช้ประเภทการให้สิทธิ์ข้อมูลเข้าสู่ระบบของไคลเอ็นต์ใน Edge โดยใช้นโยบายในพร็อกซี API โดยทั่วไปแล้ว ขั้นตอนการตรวจสอบสิทธิ์ OAuth มี 2 ขั้นตอนดังนี้

• เรียกใช้พร็อกซี API 1 เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth จากข้อมูลเข้าสู่ระบบของไคลเอ็นต์ นโยบาย OAuth v2.0 ในพร็อกซี API จะจัดการเรื่องนี้
• เรียกใช้พร็อกซี API 2 เพื่อส่งโทเค็นเพื่อการเข้าถึง OAuth ในการเรียก API พร็อกซี API จะยืนยันโทเค็นเพื่อการเข้าถึงโดยใช้นโยบาย OAuth v2.0

สิ่งที่คุณต้องมี

• บัญชี Apigee Edge หากยังไม่มีบัญชี คุณสามารถลงชื่อสมัครใช้ได้ตามวิธีการ ในการสร้างบัญชี Apigee Edge
• cURL ที่ติดตั้งในเครื่องเพื่อ ทำการเรียก API จากบรรทัดคำสั่ง

ดาวน์โหลดและติดตั้งใช้งานพร็อกซี API ที่สร้างโทเค็น

ในขั้นตอนนี้ คุณจะสร้างพร็อกซี API ที่สร้างโทเค็นเพื่อการเข้าถึง OAuth จากคีย์ผู้ใช้และข้อมูลลับของผู้ใช้ที่ส่งในการเรียก API Apigee มีพร็อกซี API ตัวอย่างที่ ทำเช่นนี้ คุณจะดาวน์โหลดและติดตั้งใช้งานพร็อกซีในตอนนี้ จากนั้นจะใช้พร็อกซีในภายหลังในบทแนะนำ (คุณ สร้างพร็อกซี API นี้ได้ง่ายๆ ด้วยตนเอง ขั้นตอนการดาวน์โหลดและการติดตั้งใช้งานนี้มีไว้เพื่อความสะดวก และเพื่อแสดงให้เห็นว่าการแชร์พร็อกซีที่สร้างไว้แล้วนั้นง่ายเพียงใด)

1. ดาวน์โหลดไฟล์ ZIP ของพร็อกซี API ตัวอย่าง "oauth" ไปยังไดเรกทอรีใดก็ได้ในระบบไฟล์
2. ไปที่ https://apigee.com/edge แล้วลงชื่อเข้าใช้
3. เลือกพัฒนา > พร็อกซี API ในแถบนำทางด้านซ้าย
4. คลิก + พร็อกซี
   
5. ในวิซาร์ดสร้างพร็อกซี ให้คลิกอัปโหลดชุดพร็อกซี
6. เลือกไฟล์ oauth.zip ที่คุณดาวน์โหลด แล้วคลิก ถัดไป
7. คลิกสร้าง
8. หลังจากสร้างเสร็จแล้ว ให้คลิกแก้ไขพร็อกซีเพื่อดูพร็อกซีใหม่ ในตัวแก้ไขพร็อกซี API
9. ในหน้าภาพรวมของตัวแก้ไขพร็อกซี API ให้คลิกเมนูแบบเลื่อนลงการติดตั้งใช้งาน แล้วเลือกทดสอบ นี่คือสภาพแวดล้อมการทดสอบในองค์กรของคุณ
   
   เมื่อมีข้อความแจ้งให้ยืนยัน ให้คลิกติดตั้งใช้งาน
   เมื่อคลิกเมนูแบบเลื่อนลงการติดตั้งใช้งานอีกครั้ง ไอคอนสีเขียวจะระบุว่าพร็อกซี ได้รับการติดตั้งใช้งานในสภาพแวดล้อมการทดสอบแล้ว
   

เยี่ยมไปเลย คุณดาวน์โหลดและทําให้พร็อกซี API ที่สร้างโทเค็นเพื่อการเข้าถึงใช้งานได้ในองค์กร Edge เรียบร้อยแล้ว

ดูโฟลว์และนโยบาย OAuth

มาดูรายละเอียดของพร็อกซี API กัน

1. ในเครื่องมือแก้ไขพร็อกซี API ให้คลิกแท็บพัฒนา คุณจะเห็นนโยบาย 2 รายการในแผงNavigator ทางด้านซ้าย นอกจากนี้ คุณยังจะเห็นโฟลว์ POST 2 รายการในส่วน Proxy Endpoints ด้วย

2. คลิก AccessTokenClientCredential ในส่วน Proxy Endpoints
   

   ในมุมมองโค้ด XML คุณจะเห็น Flow ที่ชื่อ AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   โฟลว์คือขั้นตอนการประมวลผลในพร็อกซี API ในกรณีนี้ โฟลว์จะทริกเกอร์เมื่อ เป็นไปตามเงื่อนไขบางอย่าง (เรียกว่าโฟลว์แบบมีเงื่อนไข) เงื่อนไข ที่กำหนดไว้ใน องค์ประกอบ <Condition> ระบุว่าหากมีการเรียกพร็อกซี API ไปยัง ทรัพยากร /accesstoken และคำกริยาของคำขอคือ POST ให้ เรียกใช้นโยบาย GenerateAccessTokenClient ซึ่งจะสร้างโทเค็นเพื่อการเข้าถึง

3. ตอนนี้มาดูนโยบายที่โฟลว์แบบมีเงื่อนไขจะทริกเกอร์กัน คลิกไอคอนนโยบาย GenerateAccessTokenClient ในแผนภาพโฟลว์
   
   ระบบจะโหลดการกำหนดค่า XML ต่อไปนี้ลงในมุมมองโค้ด

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   การกำหนดค่าประกอบด้วยรายการต่อไปนี้

   • <Operation> ซึ่งอาจเป็นค่าที่กำหนดไว้ล่วงหน้าค่าใดค่าหนึ่ง จะกำหนดสิ่งที่นโยบายจะทำ ในกรณีนี้ นโยบายจะสร้างโทเค็นเพื่อเข้าถึง
   • โทเค็นจะหมดอายุ 1 ชั่วโมง (3600000 มิลลิวินาที) หลังจากสร้าง
   • ใน <SupportedGrantTypes> OAuth <GrantType> ที่คาดว่าจะใช้คือ client_credentials (แลกเปลี่ยนคีย์และข้อมูลลับของผู้ใช้เป็นโทเค็น OAuth)
   • องค์ประกอบ <GrantType> ที่ 2 จะบอกนโยบายว่าควรค้นหาพารามิเตอร์ประเภทการให้สิทธิ์ที่ใดในการเรียก API ตามที่ข้อกำหนดของ OAuth 2.0 กำหนด (คุณจะเห็นค่านี้ในการเรียก API ในภายหลัง) นอกจากนี้ ยังส่งประเภทการให้สิทธิ์ในส่วนหัว HTTP (request.header.grant_type) หรือเป็นพารามิเตอร์แบบฟอร์ม (request.formparam.grant_type) ได้ด้วย

คุณไม่จำเป็นต้องดำเนินการใดๆ กับพร็อกซี API ในขณะนี้ ในขั้นตอนต่อๆ ไป คุณจะใช้พร็อกซี API นี้เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth แต่ก่อนอื่น คุณต้องทำสิ่งต่อไปนี้ ก่อน

• สร้างพร็อกซี API ที่คุณต้องการรักษาความปลอดภัยด้วย OAuth จริงๆ
• สร้างอาร์ติแฟกต์อีก 2-3 รายการที่จะทำให้ได้คีย์ผู้ใช้และข้อมูลลับของผู้บริโภค ที่คุณต้องใช้แลกเปลี่ยนเป็นโทเค็นเพื่อการเข้าถึง

สร้างพร็อกซี API ที่ป้องกันด้วย OAuth

ตอนนี้คุณจะสร้างพร็อกซี API ที่ต้องการปกป้อง นี่คือการเรียก API ที่ แสดงผลสิ่งที่คุณต้องการ ในกรณีนี้ พร็อกซี API จะเรียกใช้บริการ MockTarget ของ Apigee เพื่อแสดงผลที่อยู่ IP ของคุณ แต่คุณจะเห็นได้ก็ต่อเมื่อส่งโทเค็นเพื่อการเข้าถึง OAuth ที่ถูกต้องพร้อมกับการเรียก API

พร็อกซี API ที่คุณสร้างที่นี่จะมีนโยบายที่ตรวจสอบโทเค็น OAuth ในคำขอ

1. เลือกพัฒนา > พร็อกซี API ในแถบนำทางด้านซ้าย
2. คลิก + พร็อกซี
   
3. ในวิซาร์ดสร้างพร็อกซี ให้เลือกReverse Proxy (พบบ่อยที่สุด) แล้วคลิกถัดไป
4. กำหนดค่าพร็อกซีด้วยข้อมูลต่อไปนี้
   

   ในฟิลด์นี้	ทำดังนี้
   ชื่อพร็อกซี	ป้อน: helloworld_oauth2
   เส้นทางฐานของโปรเจ็กต์	เปลี่ยนเป็น /hellooauth2 เส้นทางฐานของโปรเจ็กต์เป็นส่วนหนึ่งของ URL ที่ใช้เพื่อส่งคำขอไปยังพร็อกซี API
   API ที่มีอยู่	ป้อน: https://mocktarget.apigee.net/ip ซึ่งกำหนด URL เป้าหมายที่ Apigee Edge เรียกใช้ในคำขอไปยังพร็อกซี API
   คำอธิบาย	ป้อน: hello world protected by OAuth

5. คลิกถัดไป
6. ในหน้านโยบายทั่วไป ให้ทำดังนี้

   ในฟิลด์นี้	ทำดังนี้
   ความปลอดภัย: การให้สิทธิ์	เลือก OAuth 2.0

7. คลิกถัดไป
8. ในหน้าโฮสต์เสมือน ให้คลิกถัดไป
9. ในหน้าบิลด์ ให้ตรวจสอบว่าได้เลือกสภาพแวดล้อมการทดสอบทดสอบแล้ว และ คลิกสร้างและทำให้ใช้งานได้
10. ในหน้าสรุป คุณจะเห็นการรับทราบว่าระบบสร้างพร็อกซี API ใหม่ เรียบร้อยแล้ว และพร็อกซี API ได้รับการติดตั้งใช้งานในสภาพแวดล้อม การทดสอบ
11. คลิกแก้ไขพร็อกซีเพื่อแสดงหน้าภาพรวมของพร็อกซี API
    โปรดทราบว่าครั้งนี้ระบบจะติดตั้งใช้งานพร็อกซี API โดยอัตโนมัติ คลิกเมนูแบบเลื่อนลงการติดตั้งใช้งาน เพื่อให้แน่ใจว่ามีจุดการติดตั้งใช้งานสีเขียวอยู่ข้างสภาพแวดล้อม "ทดสอบ"