یک API را با OAuth ایمن کنید

این آموزش به شما نشان می دهد که چگونه یک API را با OAuth 2.0 ایمن کنید.

OAuth یک پروتکل مجوز است که برنامه‌ها را قادر می‌سازد تا از طرف کاربران به اطلاعات دسترسی داشته باشند بدون اینکه کاربران مجبور شوند نام کاربری و رمز عبور خود را فاش کنند.

با OAuth، اعتبارنامه های امنیتی (مانند نام کاربری/رمز عبور یا کلید/مخفی) با یک نشانه دسترسی مبادله می شود. به عنوان مثال:

joe:joes_password (نام کاربری: رمز عبور) یا
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (کلید:مخفی)

چیزی شبیه به:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

نشانه دسترسی یک رشته تصادفی از کاراکترها است و موقت است (باید پس از مدتی نسبتاً کوتاه منقضی شود)، بنابراین انتقال آن برای احراز هویت کاربر در گردش کار برنامه بسیار امن‌تر از انتقال اعتبار واقعی است.

مشخصات OAuth 2.0 مکانیسم‌های مختلفی را برای توزیع نشانه‌های دسترسی برای برنامه‌ها به نام «انواع اعطا» تعریف می‌کند. ابتدایی ترین نوع کمک مالی که توسط OAuth 2.0 تعریف شده است، "Credentials Client" نامیده می شود. در این نوع کمک هزینه، توکن‌های دسترسی OAuth در ازای اعتبار مشتری، که جفت‌های رمز مصرف‌کننده/مصرف‌کننده هستند، مانند مثال بالا، تولید می‌شوند.

نوع اعطای اعتبار مشتری در Edge با استفاده از سیاست‌های موجود در پراکسی‌های API پیاده‌سازی می‌شود. یک جریان OAuth معمولی شامل دو مرحله است:

• با پروکسی API 1 تماس بگیرید تا یک رمز دسترسی OAuth از اعتبار مشتری ایجاد کنید. یک خط‌مشی OAuth v2.0 در پروکسی API این کار را انجام می‌دهد.
• با پراکسی API 2 تماس بگیرید تا رمز دسترسی OAuth را در یک تماس API ارسال کنید. پروکسی API با استفاده از خط مشی OAuth v2.0، رمز دسترسی را تأیید می کند.

آنچه شما نیاز دارید

• یک حساب Apigee Edge. اگر هنوز یکی را ندارید، می‌توانید با دستورالعمل‌های ایجاد حساب Apigee Edge ثبت‌نام کنید.
• برای برقراری تماس‌های API از خط فرمان، cURL روی دستگاه شما نصب شده است.

یک پراکسی API تولید کننده رمز را دانلود و استقرار کنید

در این مرحله، پروکسی API را ایجاد می‌کنید که یک نشانه دسترسی OAuth را از کلید مصرف‌کننده و راز مصرف‌کننده ارسال شده در تماس API ایجاد می‌کند. Apigee نمونه پروکسی API را ارائه می دهد که این کار را انجام می دهد. اکنون پروکسی را دانلود و مستقر خواهید کرد، سپس بعداً در آموزش از آن استفاده کنید. (شما می توانید این پراکسی API را به راحتی خودتان بسازید. این مرحله دانلود و استقرار برای راحتی است و به شما نشان می دهد که اشتراک گذاری پراکسی هایی که قبلاً ایجاد شده اند چقدر آسان است.)

1. فایل ZIP پروکسی API نمونه 'oauth' را در هر دایرکتوری در سیستم فایل خود دانلود کنید .
2. به https://apigee.com/edge بروید و وارد شوید.
3. Develop > API Proxies را در نوار ناوبری سمت چپ انتخاب کنید.
4. روی + Proxy کلیک کنید.
   
5. در جادوگر ایجاد پروکسی ، روی آپلود بسته پروکسی کلیک کنید.
6. فایل oauth.zip را که دانلود کرده اید انتخاب کنید و روی Next کلیک کنید.
7. روی ایجاد کلیک کنید.
8. پس از تکمیل ساخت، روی ویرایش پراکسی کلیک کنید تا پروکسی جدید را در ویرایشگر پروکسی API مشاهده کنید.
9. در صفحه نمای کلی ویرایشگر پروکسی API، روی منوی کشویی Deployment کلیک کنید و test را انتخاب کنید. این محیط آزمون در سازمان شما است.
   
   در درخواست تأیید، روی Deploy کلیک کنید.
   هنگامی که دوباره روی منوی کشویی Deployment کلیک می کنید، یک نماد سبز نشان می دهد که پروکسی در محیط آزمایش مستقر شده است.
   

موفق باشی! شما با موفقیت یک پراکسی API تولید کننده رمز دسترسی را در سازمان Edge خود دانلود و مستقر کرده اید.

جریان و خط مشی OAuth را مشاهده کنید

بیایید نگاهی دقیق‌تر به محتوای پراکسی API بیندازیم.

1. در ویرایشگر پروکسی API، روی تب Develop کلیک کنید. در قسمت سمت چپ ناوبر ، دو خط مشی را مشاهده خواهید کرد. همچنین دو جریان POST را در بخش Proxy Endpoints مشاهده خواهید کرد.

2. روی AccessTokenClientCredential زیر Proxy Endpoints کلیک کنید.
   

   در نمای کد XML، Flow به نام AccessTokenClientCredential را خواهید دید:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   جریان یک مرحله پردازش در یک پروکسی API است. در این حالت، جریان زمانی فعال می شود که یک شرط خاص برآورده شود (به آن جریان شرطی می گویند). شرطی که در عنصر <Condition> تعریف شده است، می گوید که اگر فراخوانی پراکسی API با منبع /accesstoken انجام شود و فعل درخواست POST باشد، سیاست GenerateAccessTokenClient را اجرا کنید که توکن دسترسی را تولید می کند.

3. حال بیایید به سیاستی که جریان مشروط ایجاد می کند نگاه کنیم. روی نماد سیاست GenerateAccessTokenClient در نمودار جریان کلیک کنید.
   
   پیکربندی XML زیر در نمای کد بارگذاری می شود:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   پیکربندی شامل موارد زیر است:

   • <Operation> ، که می تواند یکی از چندین مقدار از پیش تعریف شده باشد، مشخص می کند که سیاست قرار است چه کاری انجام دهد. در این مورد، یک نشانه دسترسی ایجاد می کند.
   • توکن 1 ساعت (3600000 میلی ثانیه) پس از تولید منقضی می شود.
   • در <SupportedGrantTypes> ، OAuth <GrantType> مورد انتظار برای استفاده، client_credentials است (تبادل یک کلید مصرف کننده و راز برای یک نشانه OAuth).
   • عنصر دوم <GrantType> به خط مشی می گوید که در فراخوانی API برای پارامتر نوع اعطا، همانطور که در مشخصات OAuth 2.0 لازم است، کجا جستجو شود. (این را بعداً در تماس API خواهید دید). نوع کمک مالی همچنین می تواند در سربرگ HTTP ( request.header.grant_type ) یا به عنوان پارامتر فرم ( request.formparam.grant_type ) ارسال شود.

در حال حاضر نیازی به انجام کار دیگری با پروکسی API ندارید. در مراحل بعدی، از این پروکسی API برای ایجاد یک نشانه دسترسی OAuth استفاده خواهید کرد. اما ابتدا باید چند کار دیگر انجام دهید:

• پروکسی API را که واقعاً می خواهید با OAuth ایمن کنید ایجاد کنید.
• چند مصنوع دیگر ایجاد کنید که منجر به کلید مصرف‌کننده و راز مصرف‌کننده می‌شود که باید با یک نشانه دسترسی مبادله کنید.

پروکسی API محافظت شده با OAuth را ایجاد کنید

اکنون می خواهید پروکسی API را ایجاد کنید که می خواهید از آن محافظت کنید. این فراخوانی API است که چیزی را که شما می خواهید برمی گرداند. در این حالت، پروکسی API با سرویس mocktarget Apigee تماس می گیرد تا آدرس IP شما را برگرداند. اما، تنها در صورتی می‌توانید آن را ببینید که یک نشانه دسترسی معتبر OAuth را با تماس API خود ارسال کنید.

پروکسی API که در اینجا ایجاد می‌کنید شامل خط‌مشی است که نشانه OAuth را در درخواست بررسی می‌کند.

1. Develop > API Proxies را در نوار ناوبری سمت چپ انتخاب کنید.
2. روی + Proxy کلیک کنید.
   
3. در جادوگر Build a Proxy ، Reverse proxy (متداول ترین) را انتخاب کنید و روی Next کلیک کنید.
4. پروکسی را با موارد زیر پیکربندی کنید:
   

   در این زمینه	این کار را انجام دهید
   نام پروکسی	وارد کنید: helloworld_oauth2
   مسیر پایه پروژه	تغییر به: /hellooauth2 Project Base Path بخشی از URL مورد استفاده برای درخواست به پروکسی API است.
   API موجود	وارد کنید: https://mocktarget.apigee.net/ip این نشانی اینترنتی هدفی را که Apigee Edge در یک درخواست به پراکسی API فراخوانی می‌کند، مشخص می‌کند.
   توضیحات	وارد کنید: hello world protected by OAuth

5. روی Next کلیک کنید.
6. در صفحه سیاست های مشترک :

   در این زمینه	این کار را انجام دهید
   امنیت: مجوز	انتخاب کنید: OAuth 2.0

7. روی Next کلیک کنید.
8. در صفحه میزبان های مجازی ، روی Next کلیک کنید.
9. در صفحه ساخت ، مطمئن شوید که محیط تست انتخاب شده است و روی Create and Deploy کلیک کنید.
10. در صفحه خلاصه ، تأییدیه ای می بینید که پروکسی API جدید شما با موفقیت ایجاد شده است و پروکسی API در محیط آزمایشی شما مستقر شده است.
11. روی ویرایش پراکسی کلیک کنید تا صفحه نمای کلی برای پراکسی API نمایش داده شود.
    توجه داشته باشید که این بار پراکسی API به طور خودکار مستقر می شود. روی منوی کشویی Deployment کلیک کنید تا مطمئن شوید که یک نقطه استقرار سبز در کنار محیط "تست" وجود دارد.