אבטחת API באמצעות OAuth

במדריך הזה מוסבר איך לאבטח API באמצעות OAuth 2.0.

OAuth הוא פרוטוקול הרשאות שמאפשר לאפליקציות לגשת למידע מטעם משתמשים בלי לדרוש מהמשתמשים לחשוף את שם המשתמש והסיסמה שלהם.

כשמשתמשים ב-OAuth, מתבצעת החלפה של פרטי כניסה מאובטחים (כמו שם משתמש, סיסמה או מפתח/סוד) לאסימון גישה. לדוגמה:

joe:joes_password (שם משתמש:סיסמה) או
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

הופך ל:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

אסימון הגישה הוא מחרוזת אקראית של תווים והוא זמני (התוקף שלו יפוג לאחר זמן קצר יחסית), לכן העברה שלו לצורך אימות משתמש בתהליך העבודה של האפליקציה הרבה יותר בטוח מהעברת פרטי כניסה אמיתיים.

פרוטוקול OAuth 2.0 מפרט מגדיר מנגנונים שונים, שנקראים "סוגי הענקות", לחלוקת גישה אסימונים לאפליקציות. סוג ההרשאה הבסיסי ביותר שמוגדר על ידי OAuth 2.0 נקרא 'לקוח' ". בסוג הענקה הזה, אסימוני גישה ל-OAuth נוצרים בתמורה להרשאת הלקוח פרטי כניסה, שהם צמדים של מפתח/סוד צרכן, כמו הדוגמה שלמעלה.

סוג ההרשאה של פרטי הכניסה של הלקוח ב-Edge מוטמע באמצעות כללי מדיניות בשרתי proxy ל-API. א' תהליך OAuth בדרך כלל כולל שני שלבים:

• קריאה לשרת proxy 1 ל-API כדי ליצור אסימון גישה ל-OAuth מהלקוח פרטי הכניסה. מדיניות OAuth v2.0 בשרת ה-proxy ל-API מטפלת בבעיה הזו.
• התקשרות לשרת proxy 2 של API כדי לשלוח את אסימון הגישה ל-OAuth בקריאה ל-API. שרת proxy ל-API מאמת את אסימון הגישה באמצעות מדיניות OAuth גרסה 2.0.

למה תזדקק?

• חשבון Apigee Edge. אם עדיין אין לכם חשבון, אפשר להירשם בעזרת ההוראות ביצירת Apigee חשבון Edge.
• cURL שמותקן במחשב שלך כדי לבצע קריאות ל-API משורת הפקודה.

הורדה ופריסה של ממשק API ליצירת אסימונים שרת proxy

בשלב הזה יוצרים את ה-Proxy ל-API שיוצר אסימון גישה ל-OAuth מפתח צרכן וסוד צרכן שנשלחו בקריאה ל-API. Apigee מספקת שרת proxy ל-API לדוגמה עשינו את זה. צריך להוריד את שרת ה-Proxy ולפרוס אותו עכשיו, ולהשתמש בו מאוחר יותר במדריך. (את/ה תוכלו לבנות את שרת ה-proxy הזה ל-API בקלות בעצמכם. לנוחיותכם, שלב ההורדה והפריסה הזה וכדי להראות לך כמה קל לשתף שרתי proxy שכבר נוצרו).

1. הורדת OAuth קובץ ZIP לדוגמה של שרת ה-proxy ל-API לכל ספרייה בקובץ המערכת.
2. עוברים לכתובת https://apigee.com/edge ונכנסים לחשבון.
3. בוחרים באפשרות פיתוח > שרתי proxy ל-API בסרגל הניווט הימני.
4. לוחצים על + Proxy.
   
5. באשף יצירת שרת proxy, לוחצים על העלאת חבילת שרת proxy.
6. בוחרים את הקובץ oauth.zip שהורדתם ולוחצים על הבא.
7. לוחצים על יצירה.
8. אחרי שה-build מסתיים, לוחצים על עריכת שרת ה-proxy כדי להציג את שרת ה-Proxy החדש. בעורך ה-proxy ל-API.
9. בדף 'סקירה כללית של עורך שרת proxy ל-API', לוחצים על התפריט הנפתח פריסה ובוחרים באפשרות בדיקה. זוהי סביבת הבדיקה בארגון שלך.
   
   בהודעת האישור, לוחצים על Deploy (פריסה).
   כשתלחצו שוב על התפריט הנפתח 'פריסה', יופיע סמל ירוק כדי לציין ששרת ה-proxy נפרס בסביבת הבדיקה.
   

כל הכבוד! הורדתם ופרסתם בהצלחה ממשק API ליצירת אסימוני גישה שרת proxy לארגון שלכם ב-Edge.

הצגת התהליך והמדיניות של OAuth

בואו נבחן מקרוב את התוכן של שרת ה-proxy ל-API.

1. בעורך ה-Proxy ל-API, לוחצים על הכרטיסייה פיתוח. בצד שמאל בחלונית Navigator יופיעו שני כללי מדיניות. יופיעו גם שתי דלתות POST עובר בקטע Proxy Endpoints.

2. לוחצים על AccessTokenClientCredential בקטע Proxy Endpoints.
   

   בתצוגת קוד ה-XML, יופיע Flow שנקרא AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   תהליך הוא שלב בעיבוד בשרת proxy ל-API. במקרה הזה, הזרימה מופעלת כאשר תנאי מסוים מתקיים (שנקרא זרימה מותנית). התנאי, מוגדר ב הרכיב <Condition>, מציין שאם הקריאה ל-Proxy ל-API מתבצעת המשאב /accesstoken, ופועל הבקשה הוא POST, אז מפעילים את המדיניות GenerateAccessTokenClient, שיוצרת את הגישה ב-Assistant.

3. עכשיו נבחן את המדיניות שהתהליך המותנה יפעיל. לוחצים על GenerateAccessTokenClient סמל המדיניות בתרשים הזרימה.
   
   תצורת ה-XML הבאה נטענת לתצוגת הקוד:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   ההגדרות האישיות כוללות:

   • הערך <Operation>, שיכול להיות אחד מכמה ערכים מוגדרים מראש, מגדיר מה המדיניות אמורה לעשות. במקרה הזה, האפליקציה תיצור גישה ב-Assistant.
   • תוקף האסימון יפוג שעה אחת (3600,000 אלפיות שנייה) לאחר יצירת האסימון.
   • ב-<SupportedGrantTypes>, פרוטוקול OAuth <GrantType> הצפוי לשימוש הוא client_credentials (החלפת מפתח צרכן וסוד באסימון OAuth).
   • רכיב ה-<GrantType> השני מציין למדיניות איפה לחפש הקריאה ל-API עבור הפרמטר של סוג ההענקה, כפי שנדרש במפרט OAuth 2.0. (אפשר לראות זאת בקריאה ל-API מאוחר יותר). אפשר לשלוח את סוג המענק גם ב-HTTP כותרת (request.header.grant_type) או כפרמטר של טופס (request.formparam.grant_type).

בשלב הזה לא צריך לעשות שום דבר נוסף באמצעות ה-Proxy ל-API. בשלבים הבאים, ייעשה שימוש בשרת ה-proxy הזה ל-API כדי ליצור אסימון גישה ל-OAuth. אבל קודם כל, צריך לבצע כמה עוד דברים:

• יוצרים את שרת ה-proxy ל-API שרוצים לאבטח באמצעות OAuth.
• יוצרים עוד כמה פריטי מידע שנוצרו בתהליך פיתוח (Artifact) שיובילו למפתח הצרכן ולסוד הצרכן תצטרכו להחליף באסימון גישה.

יצירת שרת proxy ל-API שמוגן באמצעות OAuth

עכשיו צריך ליצור את שרת ה-proxy של ה-API שעליו רוצים להגן. זוהי הקריאה ל-API מחזירה את מה שרוצים. במקרה כזה, שרת ה-proxy ל-API יקרא לשירות mocktarget של Apigee כדי להחזיר את כתובת ה-IP שלך. אבל זה יוצג רק אם תעבירו גישת OAuth חוקית באסימון עם הקריאה ל-API.

שרת ה-proxy ל-API שייווצר כאן יכלול מדיניות שבודקת אסימון OAuth בקשה.

1. בוחרים באפשרות פיתוח > שרתי proxy ל-API בסרגל הניווט הימני.
2. לוחצים על + Proxy.
   
3. באשף בניית שרת Proxy, בוחרים באפשרות שרת Proxy הפוך (הכי נפוץ). ולוחצים על Next.
4. מגדירים את שרת ה-proxy באמצעות הפרטים הבאים:
   

   בשדה הזה	לעשות את זה
   שם שרת ה-proxy	כניסה: helloworld_oauth2
   נתיב בסיס הפרויקט	שינוי ל: /hellooauth2 נתיב הבסיס של Project הוא חלק מכתובת ה-URL שמשמשת לשליחת בקשות ל-API שרת proxy.
   API קיים	כניסה: https://mocktarget.apigee.net/ip ההגדרה הזו מגדירה את כתובת ה-URL של היעד ש-Apigee Edge מפעיל בבקשה ל-API שרת proxy.
   תיאור	כניסה: hello world protected by OAuth

5. לוחצים על הבא.
6. בדף Common policies (מדיניות משותפת):

   בשדה הזה	לעשות את זה
   אבטחה: Authorization	בוחרים: OAuth 2.0

7. לוחצים על הבא.
8. בדף מארחים וירטואליים, לוחצים על הבא.
9. בדף Build, מוודאים שסביבת ה-test מסומנת. לוחצים על Create and Deploy (יצירה ופריסה).
10. בדף Summary (סיכום), מוצג אישור על כך ששרת ה-Proxy החדש ל-API שלכם. נוצר בהצלחה, ושרת ה-Proxy של ה-API נפרס בבדיקה הסביבה.
11. לוחצים על עריכת שרת proxy כדי להציג את הדף סקירה כללית עבור שרת ה-proxy ל-API.
    שימו לב שהפעם ה-Proxy של ה-API נפרס באופן אוטומטי. לוחצים על Deployment (פריסה) כדי לוודא שיש נקודה ירוקה לפריסה לצד המילה 'בדיקה' הסביבה.