Protege una API con OAuth

En este instructivo, se muestra cómo proteger una API con OAuth 2.0.

OAuth es un protocolo de autorización que permite que las apps accedan a información en nombre de los usuarios sin que estos tengan que revelar su nombre de usuario y contraseña.

Con OAuth, se intercambian las credenciales de seguridad (como el nombre de usuario y la contraseña, o la clave y el secreto) por un token de acceso. Por ejemplo:

joe:joes_password (nombre de usuario:contraseña) o
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (clave:secreto)

El ejemplo anterior se convierte en algo como lo siguiente:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

El token de acceso es una string aleatoria de caracteres y es temporal (debe caducar después de un tiempo relativamente corto), por lo que pasarla a fin de autenticar a un usuario en el flujo de trabajo de una app es mucho más seguro que transmitir credenciales reales.

La especificación de OAuth 2.0 define diferentes mecanismos, llamados "tipos de otorgamiento", para distribuir tokens de acceso para apps. El tipo de otorgamiento más básico definido por OAuth 2.0 se denomina "credenciales de cliente". En este tipo de otorgamiento, los tokens de acceso de OAuth se generan a cambio de credenciales de clientes, que son pares clave de consumidor/secreto de consumidores, como el ejemplo anterior.

El tipo de otorgamiento de credenciales de cliente en Edge se implementa mediante políticas en proxies de API. R El flujo típico de OAuth implica dos pasos:

• Llama al proxy de API 1 para generar un token de acceso de OAuth desde las credenciales de cliente. Una política de OAuth v2.0 en el proxy de API controla esto.
• Llama al proxy 2 de la API para enviar el token de acceso de OAuth en una llamada a la API. El proxy de API verifica el token de acceso mediante una política de OAuth v2.0.

Requisitos

• Una cuenta de Apigee Edge Si aún no tienes una, puedes registrarte con las instrucciones sobre cómo llegar. en Cómo crear un entorno de Cuenta de Edge.
• cURL instalado en tu máquina para hacer llamadas a la API desde la línea de comandos.

Descarga e implementa un proxy de API para generar tokens

En este paso, crearás el proxy de API que genera un token de acceso de OAuth desde una clave de consumidor y un secreto del consumidor enviados en una llamada a la API. Apigee proporciona un proxy de API de muestra que hace esto. Descargará e implementará el proxy ahora y, luego, lo usará en el instructivo. (Podrías compilar este proxy de API con facilidad). Este paso de descarga e implementación es para tu comodidad y mostrarte lo fácil que es compartir proxies que ya se han creado).

1. Descarga el archivo ZIP del proxy de API de muestra de "oauth" en cualquier directorio de tu sistema de archivos.
2. Ve a https://apigee.com/edge and sign in.
3. Selecciona Desarrollar > Proxies de API en la barra de navegación izquierda.
4. Haz clic en + Proxy.
   
5. En el asistente Create Proxy, haz clic en Upload proxy bundle.
6. Elige el archivo oauth.zip que descargaste y haz clic en Siguiente.
7. Haz clic en Crear.
8. Cuando se complete la compilación, haz clic en Edit proxy para ver el proxy nuevo. en el editor de proxy de API.
9. En la página Descripción general del editor de proxy de API, haga clic en el menú desplegable Implementación. y selecciona Probar. Este es el entorno de pruebas de tu organización.
   
   En el mensaje de confirmación, haz clic en Implementar.
   Cuando hagas clic nuevamente en el menú desplegable Deployment, un ícono verde indicará que el proxy está implementar en el entorno de pruebas.
   

¡Buen trabajo! Descargaste e implementaste un proxy de API de generación de tokens de acceso a tu organización de Edge.

Visualiza el flujo y la política de OAuth

Observemos en detalle el contenido del proxy de API.

1. En el editor de proxy de API haga clic en la pestaña Desarrollar. A la izquierda Navigator, verás dos políticas. También verás dos POST en la sección Proxy Endpoints.

2. Haz clic en AccessTokenClientCredential en Proxy Endpoints
   

   En la vista de código XML, verás un Flow llamado AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Un flujo es un paso de procesamiento en un proxy de API. En este caso, el flujo se activa cuando se cumple una condición determinada (se denomina flujo condicional). La condición, definidos en el elemento <Condition> indica que, si la llamada al proxy de la API se hace en el recurso /accesstoken y el verbo de solicitud es POST, luego, ejecutar la política GenerateAccessTokenClient, que genera el acceso token.

3. Ahora veamos la política que activará el flujo condicional. Haz clic en el ícono de la política GenerateAccessTokenClient en el diagrama de flujo.
   
   La siguiente configuración de XML se carga en la vista de código:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   La configuración incluye lo siguiente:

   • <Operation>, que puede ser uno de varios valores predefinidos, define lo que hará la política. En este caso, se generará un token de acceso.
   • El token vencerá 1 hora (3,600,000 milisegundos) después de generarse.
   • En <SupportedGrantTypes>, el <GrantType> de OAuth que se espera usar es client_credentials (mediante el cambio de una clave de consumidor y un secreto por un token de OAuth).
   • El segundo elemento <GrantType> le indica a la política dónde buscar en la llamada a la API el parámetro de tipo de otorgamiento, según lo requiere la especificación de OAuth 2.0 (verás esto más adelante en la llamada a la API). El tipo de otorgamiento también podría enviarse en el encabezado HTTP (request.header.grant_type) o como un parámetro de formulario (request.formparam.grant_type).

No necesitas hacer nada más con el proxy de API en este momento. En pasos posteriores, usarás este proxy de API para generar un token de acceso de OAuth. Pero primero debes seguir algunos pasos adicionales:

• Crea el proxy de API que deseas proteger con OAuth.
• Crea algunos artefactos más que generarán la clave de consumidor y el secreto de consumidor que deberás intercambiar por un token de acceso.

Crea el proxy de API protegido por OAuth

Ahora, creará el proxy de API que deseas proteger. Esta es la llamada a la API que muestra algo que deseas. En este caso, el proxy de API llamará al servicio de mocktarget de Apigee para que muestre tu dirección IP. Para verlo, solo podrás verlo si pasas un token de acceso de OAuth válido con la llamada a la API.

El proxy de API que crees aquí incluirá una política que busca un token OAuth en la solicitud.

1. Selecciona Desarrollar > Proxies de API (Develop > API Proxies) en la barra de navegación izquierda.
2. Haz clic en + Proxy.
   
3. En el asistente Build a Proxy, selecciona Reverse proxy (most common). y haz clic en Siguiente.
4. Configura el proxy con los siguientes pasos:
   

   En este campo haz lo siguiente	Sigue estas recomendaciones
   Proxy name	Ingresa: helloworld_oauth2
   Ruta de acceso base del proyecto	Cambia a: /hellooauth2 La ruta de acceso base del proyecto es parte de la URL que se usa para realizar solicitudes al proxy de API.
   Existing API	Ingresa: https://mocktarget.apigee.net/ip Esto define la URL de destino que invoca Apigee Edge en una solicitud a la API proxy.
   Descripción	Ingresa: hello world protected by OAuth

5. Haga clic en Next.
6. En la página Políticas comunes, haz lo siguiente:

   En este campo haz lo siguiente	Sigue estas recomendaciones
   Seguridad: Autorización	Selecciona: OAuth 2.0.

7. Haz clic en Siguiente.
8. En la página Virtual Hosts, haz clic en Next.
9. En la página Build, asegúrate de que el entorno test esté seleccionado. Haz clic en Crear e implementar.
10. En la página Resumen, verás la confirmación de que tu nuevo proxy de API se creó correctamente y que el proxy de API se implementó en tu prueba en un entorno de nube.
11. Haz clic en Editar proxy para mostrar la página Descripción general del proxy de API.
    Ten en cuenta que esta vez el proxy de API se implementa de forma automática. Haz clic en el botón para asegurarse de que haya un punto verde de implementación junto al nombre en un entorno de nube.