Sécurisez une API avec OAuth

Ce tutoriel vous explique comment sécuriser une API avec OAuth 2.0.

OAuth est un protocole d'autorisation qui permet aux applications d'accéder aux informations pour le compte des utilisateurs sans qu'ils aient à divulguer leur nom d'utilisateur et leur mot de passe.

Avec OAuth, les identifiants de sécurité (tels que le nom d'utilisateur/mot de passe ou la clé/le secret) sont échangés contre un jeton d'accès. Exemple :

joe:joes_password (username:password) ou
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

prend une forme équivalente à :

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Le jeton d'accès est une chaîne aléatoire de caractères et est temporaire (il arrive à expiration après un court laps de temps), si bien que sa transmission pour authentifier un utilisateur dans un flux d'applications est beaucoup plus sûre que la transmission de véritables informations d'identification.

La spécification OAuth 2.0 définit différents mécanismes, appelés "types d'attribution", pour la distribution des jetons d'accès pour les applications. Le type d'attribution le plus simple défini par OAuth 2.0 est appelé "identifiants client". Dans ce type d'attribution, les jetons d'accès OAuth sont générés en échange d'identifiants client, qui sont des paires clé client/secret client, comme dans l'exemple ci-dessus.

Le type d'attribution des identifiants client dans Edge est mis en œuvre à l'aide de règles dans les proxys d'API. Un flux OAuth type implique deux étapes :

• Appeler le proxy d'API 1 pour générer un jeton d'accès OAuth à partir des identifiants client. Une règle OAuth v2.0 sur le proxy d'API gère cela.
• Appeler le proxy d'API 2 pour envoyer le jeton d'accès OAuth dans un appel d'API. Le proxy d'API vérifie le jeton d'accès à l'aide d'une règle OAuth v2.0.

Prérequis

• Un compte Apigee Edge. Si vous n'en avez pas encore, vous pouvez vous inscrire à l'aide des instructions de la section Créer un compte Apigee Edge.
• cURL installé sur votre ordinateur pour effectuer des appels d'API à partir de la ligne de commande.

Télécharger et déployer un proxy d'API générant des jetons

À cette étape, vous allez créer le proxy d'API qui génère un jeton d'accès OAuth à partir d'une clé client et d'un secret client envoyés dans un appel d'API. Apigee fournit un exemple de proxy d'API qui effectue cette opération. Vous allez maintenant télécharger et déployer le proxy, puis l'utiliser plus tard dans le tutoriel. (Vous pouvez facilement créer ce proxy d'API par vous-même). Cette étape de téléchargement et de déploiement est plus pratique et vous indique à quel point il est facile de partager des proxys qui ont déjà été créés.)

1. Téléchargez le fichier ZIP d'exemple de proxy d'API "oauth" dans un répertoire de votre système de fichiers.
2. Accédez à la page https://apigee.com/edge et connectez-vous.
3. Sélectionnez Développer > Proxys API dans la barre de navigation de gauche.
4. Cliquez sur + Proxy.
   
5. Dans l'assistant Créer un proxy, cliquez sur Importer un groupe de proxy.
6. Sélectionnez le fichier oauth.zip que vous avez téléchargé, puis cliquez sur Suivant.
7. Cliquez sur Créer.
8. Une fois la compilation terminée, cliquez sur Modifier le proxy pour afficher le nouveau proxy. dans l'éditeur de proxys d'API.
9. Sur la page de présentation de l'éditeur de proxy d'API, cliquez sur la liste déroulante Déploiement, puis sélectionnez test. Il s'agit de l'environnement de test de votre organisation.
   
   Dans l'invite de confirmation, cliquez sur Déployer.
   Lorsque vous cliquez à nouveau sur la liste déroulante "Déploiement", une icône verte indique que le proxy est déployé dans l'environnement de test.
   

Bravo ! Vous avez téléchargé et déployé un proxy d'API de génération de jetons pour votre organisation Edge.

Afficher le flux et la règle OAuth

Examinons de plus près ce que contient le proxy d'API.

1. Dans l'éditeur de proxy d'API, cliquez sur l'onglet Développer. Sur la gauche Navigateur, vous verrez deux règles. Vous verrez également deux POST dans la section Proxy Endpoints.

2. Sous AccessTokenClientCredential, cliquez sur Proxy Endpoints
   

   Dans la vue Code XML, un Flow appelé AccessTokenClientCredential s'affiche :

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Un flux est une étape de traitement dans un proxy d'API. Dans ce cas, le flux est déclenché lorsque lorsqu'une certaine condition est remplie (on parle de flux conditionnel) ; La condition, défini dans l'élément <Condition>, indique que si l'appel de proxy de l'API est effectué vers la ressource /accesstoken et le verbe de requête est POST, puis exécuter la stratégie GenerateAccessTokenClient, qui génère l'accès à partir d'un jeton d'accès.

3. Examinons maintenant la règle que le flux conditionnel va déclencher. Cliquez sur l'icône de la règle GenerateAccessTokenClient dans le schéma de flux.
   
   La configuration XML suivante est chargée dans la vue Code :

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   La configuration comprend les éléments suivants :

   • Le champ <Operation>, qui peut être l'une des valeurs prédéfinies, définit ce que la règle fera. Dans le cas présent, elle va générer un jeton d'accès.
   • Le jeton expirera 1 heure (3 600 000 millisecondes) après sa génération.
   • Dans <SupportedGrantTypes>, le protocole OAuth <GrantType> qui devrait être utilisé est client_credentials (échange d'une clé client et d'un secret client pour un jeton OAuth).
   • Le deuxième élément <GrantType> indique à la règle où rechercher le paramètre de type d'attribution dans l'appel d'API, comme requis par la spécification OAuth 2.0. (Vous verrez cela plus tard dans l'appel d'API). Le type d'attribution peut également être envoyé dans l'en-tête HTTP (request.header.grant_type) ou en tant que paramètre de formulaire (request.formparam.grant_type).

Vous n'avez rien d'autre à faire concernant le proxy d'API pour le moment. Dans les étapes suivantes, vous utiliserez ce proxy d'API pour générer un jeton d'accès OAuth. Avant cela, vous devez effectuer d'autres opérations :

• Créez le proxy d'API que vous souhaitez sécuriser avec OAuth.
• Créez quelques autres artefacts qui renverront la clé client et le secret client que vous devrez échanger contre un jeton d'accès.

Créer le proxy d'API protégé par OAuth

Vous allez maintenant créer le proxy d'API que vous souhaitez protéger. Il s'agit de l'appel d'API qui renvoie ce que vous souhaitez. Dans ce cas, le proxy d'API appelle le service Mocktarget d'Apigee pour renvoyer votre adresse IP. CEPENDANT, vous ne la verrez que si vous transmettez un jeton d'accès OAuth valide avec l'appel d'API.

Le proxy d'API que vous créez ici inclut une règle qui vérifie la présence d'un jeton OAuth dans la requête.

1. Sélectionnez Développer > Proxys API dans la barre de navigation de gauche.
2. Cliquez sur + Proxy.
   
3. Dans l'assistant Build a Proxy (Créer un proxy), sélectionnez Reverse proxy (most common) (Proxy inverse (le plus courant)). puis cliquez sur Suivant.
4. Configurez le proxy comme suit :
   

   Dans ce champ	procédez comme suit
   Nom du proxy	Saisissez : helloworld_oauth2
   Chemin de base du projet	Remplacez par : /hellooauth2 Le chemin de base du projet fait partie de l'URL utilisée pour envoyer des requêtes au proxy d'API.
   API existante	Saisissez : https://mocktarget.apigee.net/ip Ce champ définit l'URL cible qu'Apigee Edge appelle lors d'une requête adressée au proxy d'API.
   Description	Saisissez : hello world protected by OAuth

5. Cliquez sur Next (Suivant).
6. Sur la page Règles courantes :

   Dans ce champ	procédez comme suit
   Sécurité : Autorisation	Sélectionner: OAuth 2.0

7. Cliquez sur Suivant.
8. Sur la page Virtual Hosts (Hôtes virtuels), cliquez sur Next (Suivant).
9. Sur la page Build (Compilation), assurez-vous que l'environnement de test est sélectionné et cliquez sur Créer et déployer.
10. Sur la page Summary (Résumé), un message s'affiche indiquant que votre nouveau proxy d'API a été créé avec succès et que le proxy d'API a été déployé sur votre test environnement.
11. Cliquez sur Modifier le proxy pour afficher la page Présentation du proxy d'API.
    Notez que cette fois le proxy d'API est déployé automatiquement. Cliquez sur le menu déroulant "Déploiement" pour vérifier qu'il y a un point de déploiement vert à côté de l'environnement "test".