API mit OAuth sichern

In dieser Anleitung erfahren Sie, wie Sie eine API mit OAuth 2.0 schützen.

OAuth ist ein Autorisierungsprotokoll, mit dem Anwendungen im Namen der Nutzer auf Informationen zugreifen können, ohne dass Nutzer ihre Nutzernamen und Passwörter ändern müssen.

Mit OAuth werden Sicherheitsanmeldedaten (z. B. Nutzername/Passwort oder Schlüssel/Secret) gegen ein Zugriffstoken ausgetauscht. Beispiel:

joe:joes_password (username:password) oder
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

könnte dann etwa so aussehen:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Das Zugriffstoken besteht aus einer zufälligen Zeichenfolge und ist temporär (es sollte nach relativ kurzer Zeit ablaufen), sodass die Weitergabe zur Authentifizierung eines Benutzers in einem App-Workflow viel sicherer ist als die Weitergabe der tatsächlichen Anmeldeinformationen.

In der OAuth 2.0-Spezifikation werden verschiedene Mechanismen für die Verteilung von Zugriffstokens für Anwendungen definiert. Die einfachste OAuth 2.0-Zustimmungsart wird als „Clientanmeldedaten“ bezeichnet. In diesem Gewährungstyp werden OAuth-Zugriffstokens im Austausch für Clientanmeldedaten generiert. Das sind Schlüssel-/Consumer-Secret-Paare, wie im obigen Beispiel.

Der Berechtigungstyp für Clientanmeldedaten in Edge wird mithilfe von Richtlinien in API-Proxys implementiert. Ein typischer OAuth-Ablauf umfasst zwei Schritte:

• Call API Proxy proxy 1, um ein OAuth-Zugriffstoken aus Clientanmeldedaten zu generieren. Eine OAuth v2.0-Richtlinie für den API-Proxy übernimmt dies.
• Call API proxy 2, um das OAuth-Zugriffstoken in einem API-Aufruf zu senden Der API-Proxy überprüft das Zugriffstoken mithilfe einer OAuth v2.0-Richtlinie.

Voraussetzungen

• Ein Apigee Edge-Konto. Wenn Sie noch kein Konto haben, können Sie sich entsprechend der Anleitung unter Apigee Edge-Konto erstellen registrieren.
• cURL, das auf Ihrem Computer installiert ist, um API-Aufrufe über die Befehlszeile auszuführen.

Tokengenerierenden API-Proxy herunterladen und bereitstellen

In diesem Schritt erstellen Sie den API-Proxy, der ein OAuth-Zugriffstoken aus einem Nutzerschlüssel und einem Consumer-Secret generiert, das in einem API-Aufruf gesendet wird. Apigee bietet einen API-Beispielproxy, der dies ausführt. Sie laden den Proxy jetzt herunter und stellen ihn bereit, um ihn später in der Anleitung zu verwenden. (Sie können diesen API-Proxy problemlos selbst erstellen. Die Schritte zum Herunterladen und Bereitstellen sind der Einfachheit halber und zeigen, wie einfach es ist, Proxys freizugeben, die bereits erstellt wurden.)

1. Laden Sie die ZIP-Datei für den Beispiel-API-Proxy „OAuth“ herunter und speichern Sie sie in einem beliebigen Verzeichnis in Ihrem Dateisystem.
2. Rufen Sie https://apigee.com/edge auf und melden Sie sich an.
3. Wählen Sie in der linken Navigationsleiste Develop > API Proxies aus.
4. Klicken Sie auf + Proxy.
   
5. Klicken Sie im Assistenten Proxy erstellen auf Proxy-Bundle hochladen.
6. Wählen Sie die heruntergeladene Datei oauth.zip aus und klicken Sie auf Weiter.
7. Klicken Sie auf Erstellen.
8. Klicken Sie nach Abschluss des Builds auf Proxy bearbeiten, um den neuen Proxy im API-Proxy-Editor anzuzeigen.
9. Klicken Sie auf der Übersichtsseite des API-Proxy-Editors auf das Drop-down Deployment und wählen Sie Test aus. Dies ist die Testumgebung in Ihrer Organisation.
   
   Klicken Sie in der Bestätigungsaufforderung auf Bereitstellen.
   Wenn Sie noch einmal auf das Drop-down-Menü „Deployment“ klicken, bedeutet ein grünes Symbol, dass der Proxy in der Testumgebung bereitgestellt wird.
   

Weiter so! Sie haben erfolgreich einen API-Proxy zur Generierung von Zugriffstokens heruntergeladen und in Ihrer Edge-Organisation bereitgestellt.

OAuth-Ablauf und Richtlinie ansehen

Sehen wir uns genauer an, was der API-Proxy enthält.

1. Klicken Sie im API-Proxy-Editor auf den Tab Develop. Im linken Navigator werden zwei Richtlinien angezeigt. Außerdem werden im Abschnitt Proxy Endpoints zwei POST-Abläufe angezeigt.

2. Klicken Sie unter Proxy Endpoints auf AccessTokenClientCredential.
   

   In der XML-Codeansicht sehen Sie ein Flow namens AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Ein Ablauf ist ein Verarbeitungsschritt in einem API-Proxy. In diesem Fall wird der Fluss ausgelöst, wenn eine bestimmte Bedingung erfüllt ist. Dies wird als bedingter Fluss bezeichnet. Die im Element <Condition> definierte Bedingung besagt, dass, wenn der API-Proxy-Aufruf an die Ressource /accesstoken erfolgt und das Anfrageverb POST lautet, die Richtlinie GenerateAccessTokenClient ausgeführt wird, die das Zugriffstoken generiert.

3. Betrachten wir nun die Richtlinie, die der bedingte Ablauf auslöst. Klicken Sie im Flussdiagramm auf das Richtliniensymbol GenerateAccessTokenClient.
   
   Die folgende XML-Konfiguration wird in die Codeansicht geladen:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Die Konfiguration umfasst Folgendes:

   • Der <Operation>, der einer von mehreren vordefinierten Werten sein kann, legt die Funktionsweise der Richtlinie fest. In diesem Fall wird ein Zugriffstoken generiert.
   • Das Token läuft 1 Stunde (3.600.000 Millisekunden) nach Erstellung ab.
   • In <SupportedGrantTypes> wird erwartet, dass der verwendete OAuth <GrantType> client_credentials ist (Austausch eines Verbraucherschlüssels und -geheimnisses gegen ein OAuth-Token).
   • Das zweite <GrantType>-Element informiert die Richtlinie darüber, wo der API-Aufruf für den „type“-Parameterparameter gemäß der OAuth 2.0-Spezifikation zu suchen ist. Sie sehen dies später im API-Aufruf. Die Gewährungsart kann auch im HTTP-Header (request.header.grant_type) oder als Formularparameter (request.formparam.grant_type) gesendet werden.

Derzeit müssen Sie mit dem API-Proxy nichts weiter tun. In späteren Schritten benötigen Sie diesen API-Proxy, um ein OAuth-Zugriffstoken zu generieren. Zuerst müssen Sie jedoch noch ein paar zusätzliche Schritte ausführen:

• Erstellen Sie den API-Proxy, der mit OAuth gesichert werden soll.
• Erstellen Sie ein paar weitere Artefakte, die zu dem Consumer-Key und Consumer-Secret führen, das Sie gegen ein Zugriffstoken austauschen müssen.

OAuth-geschützten API-Proxy erstellen

Jetzt erstellen Sie den API-Proxy, der geschützt werden soll. Dies ist der API-Aufruf, der einen gewünschten Inhalt zurückgibt. In diesem Fall ruft der API-Proxy den fiktiven Zieldienst von Apigee auf, um Ihre IP-Adresse zurückzugeben. Sie sehen diese Option jedoch nur, wenn Sie mit Ihrem API-Aufruf ein gültiges OAuth-Zugriffstoken übergeben.

Der API-Proxy, den Sie hier erstellen, enthält eine Richtlinie, die in der Anfrage nach einem OAuth-Token sucht.

1. Wählen Sie in der linken Navigationsleiste Develop > API Proxies aus.
2. Klicken Sie auf + Proxy.
   
3. Wählen Sie im Assistenten Proxy erstellen die Option Reverse-Proxy (am häufigsten verwendet) aus und klicken Sie auf Weiter.
4. Konfigurieren Sie den Proxy so:
   

   In diesem Feld	tun Sie Folgendes
   Proxy-Name	Eingeben: helloworld_oauth2
   Projektbasispfad	Ändern zu: /hellooauth2 Der Projektbasispfad ist Teil der URL, die für Anfragen an den API-Proxy verwendet wird.
   Vorhandene API	Eingeben: https://mocktarget.apigee.net/ip Definiert die Ziel-URL, die Apigee Edge bei einer Anfrage an den API-Proxy aufruft.
   Beschreibung	Eingeben: hello world protected by OAuth

5. Klicken Sie auf Weiter.
6. Auf der Seite Common policies:

   In diesem Feld	tun Sie Folgendes
   Security: Authorization	Wählen Sie OAuth 2.0 aus.

7. Klicken Sie auf Weiter.
8. Klicken Sie auf der Seite Virtuelle Hosts auf Weiter.
9. Achten Sie darauf, dass auf der Seite Build die Testumgebung ausgewählt ist, und klicken Sie auf Erstellen und bereitstellen.
10. Auf der Seite Zusammenfassung wird angezeigt, dass der neue API-Proxy erstellt und in Ihrer Testumgebung bereitgestellt wurde.
11. Klicken Sie auf Proxy bearbeiten, um die Seite Übersicht für den API-Proxy aufzurufen.
    Beachten Sie, dass der API-Proxy diesmal automatisch bereitgestellt wird. Klicken Sie auf das Drop-down-Menü „Deployment“, um zu prüfen, ob sich neben der Testumgebung eine grüne Bereitstellung befindet.