تأمين واجهة برمجة تطبيقات باستخدام OAuth

يوضّح هذا الدليل التوجيهي كيفية تأمين واجهة برمجة تطبيقات باستخدام OAuth 2.0.

OAuth هو بروتوكول تفويض يتيح للتطبيقات الوصول إلى المعلومات نيابةً عن المستخدمين بدون أن يطلبوا من المستخدمين الإفصاح عن اسم المستخدم وكلمة المرور.

من خلال بروتوكول OAuth، يتم تبادل بيانات اعتماد الأمان (مثل اسم المستخدم/كلمة المرور أو المفتاح/المفتاح السرّي) برمز دخول. مثال:

joe:joes_password (username:password) أو
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

يصبح شيئًا مثل:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

رمز الدخول هو سلسلة عشوائية من الأحرف وهو رمز مؤقت (من المفترض أن تنتهي صلاحيته بعد وقت قصير نسبيًا)، لذا فإنّ تمريره لمصادقة المستخدم في سير عمل التطبيق أكثر أمانًا من تمرير بيانات الاعتماد الفعلية.

تحدد مواصفات OAuth 2.0 آليات مختلفة، تُعرف باسم "أنواع المِنح" لتوزيع رموز الدخول للتطبيقات. إنّ نوع المنح الأساسي الذي يحدّده بروتوكول OAuth 2.0 يُسمى "بيانات اعتماد العميل". في نوع المنح هذا، يتم إنشاء رموز الدخول عبر بروتوكول OAuth مقابل بيانات اعتماد العميل، وهي أزواج مفتاح العميل/المفتاح السرّي للمستهلك، كما في المثال أعلاه.

يتم تنفيذ نوع منح بيانات اعتماد العميل في Edge باستخدام السياسات في الخوادم الوكيلة لواجهة برمجة التطبيقات. ويشمل تدفق OAuth النموذجي خطوتَين:

• اطلب الخادم الوكيل 1 لواجهة برمجة التطبيقات لإنشاء رمز دخول OAuth مميز من بيانات اعتماد العميل. وتعالج سياسة OAuth v2.0 على الخادم الوكيل لواجهة برمجة التطبيقات هذا الأمر.
• الاتصال بالخادم الوكيل لواجهة برمجة التطبيقات 2 لإرسال رمز الدخول عبر OAuth في طلب بيانات من واجهة برمجة التطبيقات. يتحقّق الخادم الوكيل لواجهة برمجة التطبيقات من رمز الدخول باستخدام سياسة OAuth v2.0.

المتطلبات

• حساب Apigee Edge. إذا لم يكن لديك حساب بعد، يمكنك الاشتراك باستخدام التوجيهات في إنشاء حساب Apigee Edge.
• cURL على جهازك لإجراء طلبات بيانات من واجهة برمجة التطبيقات من سطر الأوامر.

تنزيل ونشر خادم وكيل لواجهة برمجة التطبيقات لإنشاء رمز مميّز

في هذه الخطوة، ستنشئ الخادم الوكيل لواجهة برمجة التطبيقات الذي ينشئ رمز دخول OAuth مميزًا من مفتاح العميل وسر العميل الذي يتم إرساله في طلب بيانات من واجهة برمجة التطبيقات. توفر Apigee نموذجًا للخادم الوكيل لواجهة برمجة التطبيقات لتنفيذ ذلك. وسيتم تنزيل الخادم الوكيل ونشره الآن، ثم استخدامه لاحقًا في البرنامج التعليمي. (يمكنك إنشاء الخادم الوكيل لواجهة برمجة التطبيقات هذا بسهولة بنفسك. تهدف خطوة التنزيل والنشر هذه إلى توفير الراحة ولتوضيح مدى سهولة مشاركة الخوادم الوكيلة التي سبق إنشاؤها.)

1. يمكنك تنزيل ملف ZIP الذي يخصّ "نموذج وكيل واجهة برمجة التطبيقات"إلى أي دليل على نظام الملفات.
2. انتقِل إلى https://apigee.com/edge وسجِّل الدخول.
3. حدّد التطوير > الخوادم الوكيلة لواجهة برمجة التطبيقات في شريط التنقل الأيمن.
4. انقر على + خادم وكيل.
   
5. في معالج إنشاء خادم وكيل، انقر على تحميل حزمة الخادم الوكيل.
6. اختَر ملف oauth.zip الذي نزّلته، وانقر على التالي.
7. انقر على إنشاء.
8. بعد اكتمال الإصدار، انقر على تعديل الخادم الوكيل لعرض الخادم الوكيل الجديد في أداة تعديل الخادم الوكيل لواجهة برمجة التطبيقات.
9. في صفحة "نظرة عامة على محرِّر الخادم الوكيل لواجهة برمجة التطبيقات"، انقر على القائمة المنسدلة النشر واختَر اختبار. هذه هي بيئة الاختبار في مؤسستك.
   
   في رسالة التأكيد، انقر على نشر.
   عند النقر على القائمة المنسدلة "النشر" مرّة أخرى، يشير الرمز الأخضر إلى أنّه تمّ نشر الخادم الوكيل في بيئة الاختبار.
   

أحسنت. لقد تم تنزيل ونشر خادم وكيل لواجهة برمجة التطبيقات لإنشاء رمز الدخول في مؤسسة Edge الخاصة بك بنجاح.

عرض مسار وسياسة OAuth

لنلقِ نظرة أقرب على ما يحتويه الخادم الوكيل لواجهة برمجة التطبيقات.

1. في محرر الخادم الوكيل لواجهة برمجة التطبيقات، انقر على علامة التبويب تطوير. في لوحة المستكشف على يمين الصفحة، ستظهر لك سياستان. سيظهر لك أيضًا مسارَان POST في القسم Proxy Endpoints.

2. انقر على AccessTokenClientCredential ضمن Proxy Endpoints.
   

   في عرض رمز XML، سيظهر لك Flow باسم AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   التدفق هو خطوة معالجة في خادم وكيل لواجهة برمجة التطبيقات. في هذه الحالة، يبدأ التدفق عند استيفاء شرط معيّن (يسمى ذلك التدفق الشرطي). ينص الشرط المحدّد في العنصر <Condition> على أنّه إذا تم إجراء طلب خادم وكيل واجهة برمجة التطبيقات لمورد /accesstoken وكان فعل الطلب هو POST، يجب تنفيذ سياسة GenerateAccessTokenClient التي تنشئ رمز الدخول.

3. لنلقِ نظرة الآن على السياسة التي سيشغّلها التدفق الشرطي. انقر على رمز السياسة GenerateAccessTokenClient في الرسم البياني للتدفق.
   
   يتم تحميل إعدادات XML التالية في عرض الرمز:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   وتتضمن عملية الضبط ما يلي:

   • إنّ السمة <Operation> التي يمكن أن تكون واحدة من عدة قيم محدّدة مسبقًا، تحدّد ما ستفعله السياسة. في هذه الحالة، ستنشئ رمز دخول.
   • ستنتهي صلاحية الرمز المميز بعد ساعة واحدة (3600000 ملي ثانية) بعد إنشائه.
   • في <SupportedGrantTypes>، من المتوقّع أن يتم استخدام <GrantType> في OAuth client_credentials (بتبادل مفتاح وسر العميل برمز OAuth المميز).
   • يحدّد العنصر <GrantType> الثاني السياسة التي يجب البحث فيها عند طلب البيانات من واجهة برمجة التطبيقات لمَعلمة نوع المنحة، حسبما تقتضي مواصفات OAuth 2.0. (سترى هذا في طلب بيانات من واجهة برمجة التطبيقات لاحقًا). قد يتم إرسال نوع المنحة أيضًا في عنوان HTTP (request.header.grant_type) أو كمَعلمة نموذج (request.formparam.grant_type).

ليس عليك اتخاذ أي إجراء آخر باستخدام الخادم الوكيل لواجهة برمجة التطبيقات في الوقت الحالي. في الخطوات اللاحقة، ستستخدم الخادم الوكيل لواجهة برمجة التطبيقات هذا لإنشاء رمز دخول OAuth. أولاً، عليك تنفيذ بعض الإجراءات الإضافية:

• أنشِئ الخادم الوكيل لواجهة برمجة التطبيقات الذي تريد تأمينه باستخدام OAuth.
• أنشِئ بعض العناصر الأخرى التي ستؤدي إلى الحصول على مفتاح العميل وسر العميل الذي تحتاج إليهما استبدال رمز الدخول.

إنشاء خادم وكيل لواجهة برمجة التطبيقات المحمية ببروتوكول OAuth

أنت الآن بصدد إنشاء الخادم الوكيل لواجهة برمجة التطبيقات الذي تريد حمايته. هذا هو طلب بيانات من واجهة برمجة التطبيقات الذي يعرض المحتوى الذي تريده. في هذه الحالة، سيستدعي الخادم الوكيل لواجهة برمجة التطبيقات خدمة الاستهداف التجريبي Apigee لإرجاع عنوان IP الخاص بجهازك. ولكن لن يظهر لك هذا التعديل إلا في حال ضبط رمز دخول OAuth صالح في طلب البيانات من واجهة برمجة التطبيقات.

سيتضمّن الخادم الوكيل لواجهة برمجة التطبيقات الذي تنشئه هنا سياسة تتحقق من وجود رمز OAuth مميز في الطلب.

1. حدّد التطوير > الخوادم الوكيلة لواجهة برمجة التطبيقات في شريط التنقل الأيمن.
2. انقر على + خادم وكيل.
   
3. في معالج إنشاء خادم وكيل، اختَر الخادم الوكيل العكسي (الأكثر شيوعًا)، وانقر على التالي.
4. اضبط الخادم الوكيل من خلال ما يلي:
   

   في هذا الحقل	افعل هذا
   اسم الخادم الوكيل	إدخال: helloworld_oauth2
   المسار الأساسي للمشروع	تغيير إلى: /hellooauth2 يشكّل "مسار المشروع الأساسي" جزءًا من عنوان URL المستخدَم لإرسال طلبات إلى الخادم الوكيل لواجهة برمجة التطبيقات.
   واجهة برمجة التطبيقات الحالية	إدخال: https://mocktarget.apigee.net/ip يحدِّد هذا عنوان URL المستهدف الذي يستدعيه Apigee Edge عند طلب الخادم الوكيل لواجهة برمجة التطبيقات.
   الوصف	إدخال: hello world protected by OAuth

5. انقر على التالي.
6. في صفحة السياسات الشائعة:

   في هذا الحقل	افعل هذا
   الأمان: التفويض	اختَر: OAuth 2.0.

7. انقر على التالي.
8. في صفحة المضيفين الافتراضيين، انقر على التالي.
9. في صفحة الإصدار، تأكَّد من اختيار بيئة الاختبار، ثم انقر على إنشاء ونشر.
10. في صفحة الملخّص، يظهر لك إقرار بأنّه تم إنشاء الخادم الوكيل الجديد لواجهة برمجة التطبيقات بنجاح وأنّه تم تفعيل الخادم الوكيل لواجهة برمجة التطبيقات في بيئة الاختبار.
11. انقر على تعديل الخادم الوكيل لعرض صفحة نظرة عامة للخادم الوكيل لواجهة برمجة التطبيقات.
    يُرجى ملاحظة أنّه يتم تفعيل الخادم الوكيل لواجهة برمجة التطبيقات تلقائيًا هذه المرة. انقر على القائمة المنسدلة "النشر" للتأكّد من وجود نقطة نشر خضراء بجانب بيئة "الاختبار".