تأمين واجهة برمجة تطبيقات باستخدام OAuth

يشرح لك هذا البرنامج التعليمي كيفية تأمين واجهة برمجة التطبيقات باستخدام OAuth 2.0.

OAuth هو بروتوكول ترخيص يمكّن التطبيقات من الوصول إلى المعلومات بالنيابة عن المستخدمين دون مطالبة المستخدمين بتقديم اسم المستخدم وكلمة المرور.

باستخدام OAuth، يتم تبادل بيانات اعتماد الأمان (مثل اسم المستخدم/كلمة المرور أو المفتاح/السر). لرمز الدخول. على سبيل المثال:

joe:joes_password (username:password) أو
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

تصبح شيئًا مثل:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

رمز الدخول هو سلسلة عشوائية من الأحرف وهو مؤقت (يجب أن تنتهي صلاحيته بعد وقت قصير نسبيًا)، لذا يعد تمريره لمصادقة مستخدم في سير عمل التطبيق أكثر أمانًا من تمرير بيانات الاعتماد الفعلية.

OAuth 2.0 محددة تحدد آليات مختلفة، تسمى "أنواع المنح"، لتوزيع الوصول الرموز المميزة للتطبيقات. يُسمى أبسط أنواع المنح المحددة بواسطة OAuth 2.0 "العميل بيانات الاعتماد". وفي نوع المنح هذا، يتم إنشاء رموز دخول OAuth مقابل العميل بيانات الاعتماد، وهي أزواج مفتاح العميل/سر العميل، مثل المثال أعلاه.

يتم تنفيذ نوع منح بيانات اعتماد العميل في Edge باستخدام السياسات في الخوادم الوكيلة لواجهة برمجة التطبيقات. حاسمة يتضمن تدفق OAuth النموذجي خطوتين:

• طلب خادم واجهة برمجة التطبيقات 1 لإنشاء رمز دخول OAuth من العميل بيانات الاعتماد. تعالج سياسة OAuth الإصدار 2.0 على الخادم الوكيل لواجهة برمجة التطبيقات هذا الإجراء.
• طلب واجهة برمجة التطبيقات للخادم الوكيل 2 لإرسال رمز الدخول عبر OAuth في طلب بيانات من واجهة برمجة التطبيقات. تشير رسالة الأشكال البيانية يتحقق خادم وكيل واجهة برمجة التطبيقات من رمز الدخول باستخدام سياسة OAuth v2.0.

المتطلبات

• حساب على Apigee Edge إذا لم يكن لديك حساب حتى الآن، يمكنك الاشتراك من خلال التوجيهات. في إنشاء Apigee حساب Edge
• تثبيت cURL على جهازك إجراء طلبات بيانات من واجهة برمجة التطبيقات من سطر الأوامر.

تنزيل ونشر واجهة برمجة تطبيقات لإنشاء الرموز المميّزة الوكيل

في هذه الخطوة، ستحتاج إلى إنشاء خادم وكيل لواجهة برمجة التطبيقات الذي ينشئ رمز دخول OAuth من مفتاح العميل وسر العميل اللذين تم إرسالهما في استدعاء واجهة برمجة التطبيقات. توفّر Apigee نموذجًا لخادم وكيل لواجهة برمجة تطبيقات للقيام بذلك. يمكنك تنزيل الخادم الوكيل ونشره الآن، ثم استخدامه لاحقًا في البرنامج التعليمي. (أنت إنشاء الخادم الوكيل لواجهة برمجة التطبيقات بسهولة بنفسك. هذه الخطوة للتنزيل والنشر مخصصة للتيسير عليك ولتوضيح مدى سهولة مشاركة الخوادم الوكيلة التي سبق إنشاؤها).

1. تنزيل "oauth" نموذج لملف ZIP لواجهة برمجة التطبيقات إلى أي دليل على ملفك .
2. انتقِل إلى https://apigee.com/edge وسجِّل الدخول.
3. اختَر التطوير > الخوادم الوكيلة لواجهة برمجة التطبيقات في شريط التنقل الأيمن.
4. انقر على + خادم وكيل.
   
5. في معالج إنشاء خادم وكيل، انقر على تحميل حزمة الخادم الوكيل.
6. اختَر الملف oauth.zip الذي تم تنزيله، ثم انقر على. التالي.
7. انقر على إنشاء.
8. بعد اكتمال عملية الإنشاء، انقر على تعديل الخادم الوكيل لعرض الخادم الوكيل الجديد. في محرر الخادم الوكيل لواجهة برمجة التطبيقات.
9. في صفحة نظرة عامة على محرر الخادم الوكيل لواجهة برمجة التطبيقات، انقر على القائمة المنسدلة النشر. واختَر اختبار. هذه هي بيئة الاختبار في مؤسستك.
   
   في رسالة التأكيد، انقر على نشر.
   عند النقر على القائمة المنسدلة "النشر" مرة أخرى، يشير رمز أخضر إلى أن الوكيل نشره إلى بيئة الاختبار.
   

أحسنت. تم بنجاح تنزيل ونشر واجهة برمجة تطبيقات لإنشاء رموز الدخول. خادمك الوكيل إلى مؤسسة Edge.

عرض مسار OAuth والسياسة

لنلقِ نظرة فاحصة على محتوى الخادم الوكيل لواجهة برمجة التطبيقات.

1. في محرِّر الخادم الوكيل لواجهة برمجة التطبيقات، انقر على علامة التبويب تطوير. على اليسار في لوحة المستكشف، ستظهر لك سياستان. سيظهر لك أيضًا عنصران POST في القسم Proxy Endpoints.

2. انقر على AccessTokenClientCredential ضمن Proxy Endpoints
   

   في عرض رمز XML، ستظهر لك علامة Flow باسم AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   التدفق هو خطوة معالجة في خادم وكيل لواجهة برمجة التطبيقات. في هذه الحالة، يبدأ التدفق عندما يتم استيفاء شرط معين (يُسمى التدفق المشروط). الشرط، محددة في <Condition>، يشير إلى أنه إذا تم إجراء استدعاء الخادم الوكيل لواجهة برمجة التطبيقات مورد /accesstoken، وفعل الطلب هو POST، ثم تنفيذ سياسة GenerateAccessTokenClient، التي تؤدي إلى إنشاء إمكانية الوصول الرمز المميز.

3. لنلقِ الآن نظرة على السياسة التي سيشغّلها التدفق الشرطي. انقر على رمز السياسة GenerateAccessTokenClient في مخطَّط التدفق.
   
   يتم تحميل إعدادات XML التالية في عرض الرموز البرمجية:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   وتشمل الإعدادات ما يلي:

   • تمثّل هذه السمة <Operation>، والتي يمكن أن تكون واحدة من عدة قيم محدّدة مسبقًا. ما ستفعله السياسة. في هذه الحالة، سيؤدي ذلك إلى إنشاء إذن وصول الرمز المميز.
   • ستنتهي صلاحية الرمز المميّز بعد ساعة واحدة (3600000 مللي ثانية) بعد إنشائه.
   • في <SupportedGrantTypes>، بروتوكول OAuth القيمة المتوقعة لاستخدام <GrantType> هي client_credentials. (تبادل مفتاح وسر العميل لرمز OAuth المميز).
   • يحدّد عنصر <GrantType> الثاني السياسة بشأن المكان الذي يجب التدقيق فيه طلب بيانات من واجهة برمجة التطبيقات لمعلمة نوع المنح، كما هو مطلوب في مواصفات OAuth 2.0. (سيظهر لك ذلك في طلب بيانات من واجهة برمجة التطبيقات لاحقًا). يمكن أيضًا إرسال نوع المنح في HTTP رأس الصفحة (request.header.grant_type) أو كمعلمة نموذج (request.formparam.grant_type).

ليس عليك اتخاذ أي إجراء آخر باستخدام الخادم الوكيل لواجهة برمجة التطبيقات في الوقت الحالي. في الخطوات اللاحقة، ستستخدم الخادم الوكيل لواجهة برمجة التطبيقات هذا لإنشاء رمز دخول OAuth. ولكن أولاً، عليك القيام ببعض أشياء أكثر:

• أنشِئ الخادم الوكيل لواجهة برمجة التطبيقات الذي تريد تأمينه باستخدام OAuth.
• إنشاء بعض العناصر الأخرى التي ستؤدي إلى إنشاء مفتاح العميل وسر العميل تحتاج إلى استبداله برمز الدخول.

إنشاء خادم وكيل لواجهة برمجة التطبيقات المحمي ببروتوكول OAuth

ستقوم الآن بإنشاء الخادم الوكيل لواجهة برمجة التطبيقات الذي تريد حمايته. هذا هو استدعاء واجهة برمجة التطبيقات الذي بإرجاع شيء تريده. في هذه الحالة، سوف يستدعي الخادم الوكيل لواجهة برمجة التطبيقات خدمة Apigee's mocktarget. لإرجاع عنوان IP الخاص بجهازك. ومع ذلك، لن تظهر لك هذه المعلومات إلا عند تجاوز إذن وصول صالح من خلال بروتوكول OAuth. مع طلب بيانات من واجهة برمجة التطبيقات.

سيتضمن الخادم الوكيل لواجهة برمجة التطبيقات الذي تنشئه هنا سياسة تتحقق من رمز OAuth المميز في طلبك.

1. اختَر التطوير > الخوادم الوكيلة لواجهة برمجة التطبيقات في شريط التنقل الأيمن.
2. انقر على + خادم وكيل.
   
3. في معالج إنشاء خادم وكيل، اختَر الخادم الوكيل العكسي (الأكثر شيوعًا)، وانقر على التالي.
4. اضبط الخادم الوكيل بما يلي:
   

   في هذا الحقل	إجراء ذلك
   اسم الخادم الوكيل	أدخِل: helloworld_oauth2
   المسار الأساسي للمشروع	التغيير إلى: /hellooauth2 مسار قاعدة المشروع هو جزء من عنوان URL المستخدم لإرسال طلبات إلى واجهة برمجة التطبيقات الخادم الوكيل.
   واجهة برمجة التطبيقات الحالية	أدخِل: https://mocktarget.apigee.net/ip يتم تحديد عنوان URL المستهدف الذي تستدعيه Apigee Edge على طلب إلى واجهة برمجة التطبيقات. الخادم الوكيل.
   الوصف	أدخِل: hello world protected by OAuth

5. انقر على التالي.
6. في صفحة السياسات الشائعة:

   في هذا الحقل	إجراء ذلك
   الأمان: التفويض	اختيار: OAuth 2.0

7. انقر على التالي.
8. في صفحة المضيفات الافتراضية، انقر على التالي.
9. في صفحة إنشاء، تأكَّد من اختيار بيئة الاختبار. انقر على إنشاء ونشر.
10. في صفحة الملخّص، سيظهر لك إقرار بأنّ الخادم الوكيل الجديد لواجهة برمجة التطبيقات تم إنشاؤه بنجاح، وأنه تم نشر الخادم الوكيل لواجهة برمجة التطبيقات في الاختبار محددة.
11. انقر على تعديل الخادم الوكيل لعرض صفحة نظرة عامة للخادم الوكيل لواجهة برمجة التطبيقات.
    لاحظ أنه هذه المرة تم تفعيل الخادم الوكيل لواجهة برمجة التطبيقات تلقائيًا. انقر على "النشر". للتأكد من وجود نقطة نشر خضراء بجوار علامة محددة.