אבטחת API באמצעות OAuth

במדריך הזה תלמדו איך לאבטח API באמצעות OAuth 2.0.

OAuth הוא פרוטוקול הרשאה שמאפשר לאפליקציות לגשת למידע בשמם של משתמשים, בלי לדרוש מהמשתמשים לחשוף את שם המשתמש והסיסמה שלהם.

כשמשתמשים ב-OAuth, המערכת ממירה את פרטי הכניסה לאבטחה (כמו שם משתמש/סיסמה או מפתח/סוד) באסימון גישה. לדוגמה:

joe:joes_password (שם משתמש:סיסמה) או
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (מפתח:סוד)

יהפוך למשהו כזה:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

אסימון הגישה הוא מחרוזת אקראית של תווים והוא זמני (התוקף שלו אמור לפוג לאחר זמן קצר יחסית), לכן העברה שלו לאימות משתמש בתהליך העבודה של האפליקציה היא הרבה יותר בטוחה מהעברה של פרטי הכניסה עצמם.

במפרט OAuth 2.0 מוגדרים מנגנונים שונים, שנקראים "סוגי הרשאות", להפצת אסימוני גישה לאפליקציות. סוג המענק הבסיסי ביותר שמוגדר על ידי OAuth 2.0 נקרא 'פרטי כניסה של לקוח'. בסוג ההרשאה הזה, אסימוני הגישה ל-OAuth נוצרים בתמורה לפרטי הכניסה של הלקוח, שהם צמדים של מפתח צרכן/סוד צרכן, כמו בדוגמה שלמעלה.

סוג המענק של פרטי הכניסה של הלקוח ב-Edge מוטמע באמצעות מדיניות בשרתי proxy של API. תהליך OAuth אופייני כולל שני שלבים:

• Call API proxy 1 כדי ליצור אסימון גישה מסוג OAuth מפרטי הכניסה של הלקוח. מדיניות OAuth v2.0 על שרת ה-API של שרת ה-proxy מטפלת בבעיה הזו.
• קוראים לשרת proxy 2 של ה-API כדי לשלוח את אסימון הגישה ל-OAuth בקריאה ל-API. שרת ה-API של ה-API מאמת את אסימון הגישה באמצעות מדיניות OAuth v2.0.

מה הדרישות כדי להצטרף לתוכנית?

• חשבון Apigee Edge. אם עדיין אין לך חשבון, אפשר להירשם להנחיות במאמר יצירת חשבון Apigee Edge.
• cURL שמותקנת במחשב כדי לבצע קריאות ל-API משורת הפקודה.

מורידים ופורסים שרת proxy ליצירת אסימונים של API

בשלב הזה יוצרים את שרת ה-API של שרת ה-API שיוצר אסימון גישה ל-OAuth ממפתח צרכן וסוד צרכן שנשלח בקריאה ל-API. Apigee מספקת שרת proxy לדוגמה של API שעושה זאת. עכשיו תצטרכו להוריד ולפרוס את שרת ה-proxy, ואז להשתמש בו מאוחר יותר במדריך. (תוכלו לבנות את שרת ה-API הזה בקלות) בעצמכם. שלב ההורדה והפריסה נועד לנוחיותכם, וכדי להראות לכם כמה קל לשתף שרתי proxy שכבר נוצרו.)

1. יש להוריד את קובץ ה-ZIP של שרת ה-API לדוגמה מסוג 'oauth' לספרייה כלשהי במערכת הקבצים שלך.
2. עוברים לכתובת https://apigee.com/edge ונכנסים לחשבון.
3. בסרגל הניווט הימני, בוחרים באפשרות פיתוח > שרתי proxy של API.
4. לוחצים על + שרת Proxy.
   
5. באשף יצירת שרת proxy, לוחצים על העלאת חבילה של שרת proxy.
6. בוחרים את הקובץ oauth.zip שהורדתם ולוחצים על הבא.
7. לוחצים על יצירה.
8. בסיום ה-build, לוחצים על Edit proxy כדי להציג את שרת ה-Proxy החדש בעורך ה-API של שרת ה-proxy.
9. בדף הסקירה הכללית של עורך ה-API של שרת ה-API, לוחצים על התפריט הנפתח פריסה ובוחרים באפשרות בדיקה. זוהי סביבת הבדיקה בארגון.
   
   בהודעה לאישור, לוחצים על פריסה.
   כשלוחצים שוב על התפריט הנפתח 'פריסה', מופיע סמל ירוק שמציין ששרת ה-Proxy נפרס בסביבת הבדיקה.
   

כל הכבוד! הורדת ופרסת בהצלחה שרת proxy של ממשק API שיוצר אסימוני גישה לארגון שלך ב-Edge.

הצגת התהליך והמדיניות של OAuth

נבחן מקרוב את התוכן של שרת proxy ל-API.

1. בעורך ה-API של שרת ה-proxy, לוחצים על הכרטיסייה פיתוח. בחלונית הניווט השמאלית יוצגו שני כללי מדיניות. יופיעו גם שני זרימות POST בקטע Proxy Endpoints.

2. לוחצים על AccessTokenClientCredential בקטע Proxy Endpoints.
   

   בתצוגת קוד ה-XML יופיע Flow בשם AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   זרימה היא שלב עיבוד בשרת proxy ל-API. במקרה כזה, הזרימה מופעלת כשתנאי מסוים מתקיים (התהליך הזה נקרא זרימה מותנה). התנאי, שמוגדר ברכיב <Condition>, אומר שאם מתבצעת קריאה לשרת ה-proxy של ה-API למשאב /accesstoken, והפועל של הבקשה הוא POST, אז מריץ את המדיניות GenerateAccessTokenClient, שיוצרת את אסימון הגישה.

3. עכשיו נסתכל על המדיניות שהתהליך המותנה יפעיל. לוחצים על סמל המדיניות GenerateAccessTokenClient בתרשים הזרימה.
   
   תצורת ה-XML הבאה נטענת לתצוגת הקוד:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   ההגדרה כוללת את הפריטים הבאים:

   • הערך <Operation>, שיכול להיות אחד מהערכים המוגדרים מראש, מגדיר מה המדיניות אמורה לעשות. במקרה הזה, המערכת תיצור אסימון גישה.
   • התוקף של האסימון יפוג שעה אחת (3600,000 אלפיות השנייה) אחרי שנוצר.
   • בחודש <SupportedGrantTypes>, השימוש הצפוי ב-<GrantType> של OAuth הוא client_credentials (החלפת מפתח צרכן וסוד באסימון OAuth).
   • רכיב <GrantType> השני מורה למדיניות איפה לחפש בקריאה ל-API לגבי הפרמטר של סוג המענק, כפי שנדרש במפרט OAuth 2.0. (תוכלו לראות את זה בקריאה ל-API מאוחר יותר). אפשר לשלוח את סוג ההרשאה גם בכותרת ה-HTTP (request.header.grant_type) או כפרמטר של טופס (request.formparam.grant_type).

בשלב הזה, אין צורך לעשות שום דבר נוסף עם שרת ה-API של שרת ה-API. בשלבים מאוחרים יותר, תשתמשו בשרת ה-API הזה כדי ליצור אסימון גישה ל-OAuth. אבל קודם כול, עלייך לעשות כמה דברים נוספים:

• יוצרים את שרת ה-API של ה-API שאותו אתם רוצים לאבטח באמצעות OAuth.
• עליך ליצור עוד כמה פריטי מידע שנוצרו בתהליך פיתוח (Artifact) שיובילו ליצירת מפתח הצרכן וסוד הצרכן שנדרשים כדי להחליף אסימון גישה.

יצירת שרת proxy ל-API המוגן באמצעות OAuth

עכשיו אתם עומדים ליצור את שרת ה-API של ה-API שעליו רוצים להגן. זוהי הקריאה ל-API שמחזירה את הערך הרצוי. במקרה כזה, שרת ה-proxy של ה-API יקרא לשירות mocktarget של Apigee כדי להחזיר את כתובת ה-IP שלך. אבל אפשר לראות אותה רק אם מעבירים אסימון גישה תקין מסוג OAuth בקריאה ל-API.

שרת ה-proxy של ה-API שנוצר כאן יכלול מדיניות שבודקת בבקשה אסימון OAuth.

1. בסרגל הניווט הימני, בוחרים באפשרות פיתוח > שרתי proxy של API.
2. לוחצים על + שרת Proxy.
   
3. באשף בניית שרת Proxy, בוחרים באפשרות הפוך שרת Proxy (הנפוץ ביותר) ולוחצים על הבא.
4. מגדירים את שרת ה-Proxy באמצעות האפשרויות הבאות:
   

   בשדה הזה	עשה זאת
   שם שרת Proxy	הזנת: helloworld_oauth2
   נתיב הבסיס של הפרויקט	שינוי ל: /hellooauth2 הנתיב של בסיס הפרויקט הוא חלק מכתובת ה-URL שמשמשת לשליחת בקשות לשרת ה-proxy של ה-API.
   API קיים	הזנת: https://mocktarget.apigee.net/ip השדה הזה מגדיר את כתובת ה-URL של היעד ש-Apigee Edge מפעיל בבקשה לשרת proxy של API.
   תיאור	הזנת: hello world protected by OAuth

5. לוחצים על הבא.
6. בדף כללי מדיניות נפוצים:

   בשדה הזה	עשה זאת
   אבטחה: הרשאה	בוחרים באפשרות: OAuth 2.0

7. לוחצים על הבא.
8. בדף מארחים וירטואליים, לוחצים על הבא.
9. בדף Build, מוודאים שסביבת test מסומנת ולוחצים על Create and Deploy (יצירה ופריסה).
10. בדף Summary (סיכום), תופיע אישור על כך ששרת ה-Proxy החדש של ה-API נוצר בהצלחה, וששרת ה-Proxy של ה-API נפרס בסביבת הבדיקה.
11. לוחצים על עריכת שרת ה-proxy כדי להציג את הדף סקירה כללית של שרת ה-API של שרת ה-proxy.
    חשוב לשים לב שהפעם שרת ה-proxy של ה-API נפרס באופן אוטומטי. לוחצים על התפריט הנפתח 'פריסה' כדי לוודא שיש נקודת פריסה ירוקה ליד סביבת הבדיקה.