OAuth का इस्तेमाल करके एपीआई को सुरक्षित बनाएं

इस ट्यूटोरियल में, OAuth 2.0 की मदद से एपीआई को सुरक्षित करने का तरीका बताया गया है.

OAuth एक अनुमति देने वाला प्रोटोकॉल है. यह ऐप्लिकेशन को इनकी ओर से जानकारी ऐक्सेस करने की सुविधा देता है उनके लिए, उपयोगकर्ताओं को अपना उपयोगकर्ता नाम और पासवर्ड बताने की ज़रूरत न पड़े.

OAuth के साथ, सुरक्षा क्रेडेंशियल (जैसे कि उपयोगकर्ता नाम/पासवर्ड या कुंजी/सीक्रेट) एक्सचेंज किए जाते हैं पर जाएं. उदाहरण के लिए:

joe:joes_password (username:password) या
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (कुंजी:सीक्रेट)

कुछ ऐसा बन जाता है:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

ऐक्सेस टोकन, वर्णों की एक बेतरतीब स्ट्रिंग है और यह कुछ समय के लिए होता है. इसकी समयसीमा कम समय लगता है), इसलिए ऐप्लिकेशन के वर्कफ़्लो में उपयोगकर्ता की पुष्टि करने के लिए इसे पास करना और असल क्रेडेंशियल पास करने की तुलना में ज़्यादा सुरक्षित है.

OAuth 2.0 स्पेसिफ़िकेशन में अलग-अलग प्रोसेस के बारे में बताया जाता है. इन तरीकों को "अनुमति के टाइप" कहते हैं. डिस्ट्रिब्यूशन का ऐक्सेस देने के लिए के लिए टोकन शामिल हैं. OAuth 2.0 में बताए गए सबसे बुनियादी अनुदान प्रकार को "क्लाइंट" कहा जाता है क्रेडेंशियल." अनुमति के इस टाइप में, क्लाइंट के बदले OAuth ऐक्सेस टोकन जनरेट किए जाते हैं क्रेडेंशियल, जो उपभोक्ता कुंजी/उपभोक्ता सीक्रेट जोड़े होते हैं, जैसा कि ऊपर दिया गया उदाहरण है.

Edge में क्लाइंट क्रेडेंशियल देने की अनुमति का टाइप, एपीआई प्रॉक्सी में दी गई नीतियों का इस्तेमाल करके लागू किया जाता है. ऐप्लिकेशन आम तौर पर, OAuth फ़्लो में दो चरण होते हैं:

• क्लाइंट से OAuth ऐक्सेस टोकन जनरेट करने के लिए एपीआई प्रॉक्सी 1 पर कॉल करें क्रेडेंशियल डालें. एपीआई प्रॉक्सी पर OAuth v2.0 नीति की मदद से इसे मैनेज किया जाता है.
• एपीआई कॉल में OAuth ऐक्सेस टोकन भेजने के लिए, एपीआई प्रॉक्सी 2 पर कॉल करें. कॉन्टेंट बनाने एपीआई प्रॉक्सी, ऐक्सेस टोकन की पुष्टि करने के लिए, OAuth v2.0 नीति का इस्तेमाल करता है.

आपको इनकी ज़रूरत होगी

• Apigee Edge खाता. अगर आपके पास अब तक कोई खाता नहीं है, तो निर्देशों की मदद से साइन अप करें एक Apigee बनाना Edge खाता.
• cURL को आपकी मशीन पर इंस्टॉल किया कमांड लाइन से एपीआई कॉल करें.

टोकन जनरेट करने वाला एपीआई डाउनलोड और डिप्लॉय करें प्रॉक्सी

इस चरण में, आपको ऐसी एपीआई प्रॉक्सी बनानी होगी जो किसी API कॉल में भेजी गई उपभोक्ता कुंजी और उपभोक्ता सीक्रेट. Apigee, एपीआई प्रॉक्सी का एक सैंपल देता है, जो करता है. प्रॉक्सी को अभी डाउनलोड करके डिप्लॉय किया जा सकता है. इसके बाद, ट्यूटोरियल में उसका इस्तेमाल किया जा सकता है. (आप इस एपीआई प्रॉक्सी को आप आसानी से बना सकते हैं. डाउनलोड और डिप्लॉय करने का यह तरीका, आपकी सुविधा के लिए है और आपको यह दिखाने के लिए कि पहले ही बनाई जा चुकी प्रॉक्सी को शेयर करना कितना आसान है.)

1. 'oauth' डाउनलोड करें आपकी फ़ाइल पर मौजूद किसी भी डायरेक्ट्री में एपीआई प्रॉक्सी का सैंपल ZIP फ़ाइल बनाएं सिस्टम.
2. https://apigee.com/edge पर जाएं और साइन इन करें.
3. डेवलप करें > एपीआई प्रॉक्सी पर क्लिक करें.
4. + प्रॉक्सी पर क्लिक करें.
   
5. प्रॉक्सी बनाएं विज़र्ड में, प्रॉक्सी बंडल अपलोड करें पर क्लिक करें.
6. डाउनलोड की गई oauth.zip फ़ाइल चुनें और क्लिक करें आगे बढ़ें.
7. बनाएं पर क्लिक करें.
8. बिल्ड पूरा होने के बाद, नई प्रॉक्सी देखने के लिए प्रॉक्सी में बदलाव करें पर क्लिक करें के लिए, एपीआई प्रॉक्सी एडिटर में दिया जाता है.
9. एपीआई प्रॉक्सी एडिटर की खास जानकारी देने वाले पेज पर, डिप्लॉयमेंट ड्रॉप-डाउन पर क्लिक करें और जांच चुनें. यह आपके संगठन में टेस्ट एनवायरमेंट है.
   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
   पुष्टि करने के अनुरोध पर, डिप्लॉय करें पर क्लिक करें.
   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है जब डिप्लॉयमेंट ड्रॉप-डाउन पर फिर से क्लिक किया जाता है, तो हरे रंग का आइकॉन बताता है कि प्रॉक्सी टेस्ट एनवायरमेंट में डिप्लॉय किया गया.
   

बहुत बढ़िया! आपने ऐक्सेस टोकन जनरेट करने वाला एपीआई डाउनलोड और डिप्लॉय कर लिया है अपने Edge संगठन के लिए प्रॉक्सी करें.

OAuth फ़्लो और नीति देखना

आइए, देखते हैं कि एपीआई प्रॉक्सी में क्या-क्या शामिल है.

1. एपीआई प्रॉक्सी एडिटर में, डेवलप करें टैब पर क्लिक करें. बाईं ओर नेविगेटर पैनल में, आपको दो नीतियां दिखेंगी. आपको दो POST भी दिखेंगे Proxy Endpoints सेक्शन में फ़्लो करता है.

2. इसके तहत, AccessTokenClientCredential पर क्लिक करें Proxy Endpoints.
   

   एक्सएमएल कोड व्यू में, आपकोFlow AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   एपीआई प्रॉक्सी में प्रोसेसिंग का एक चरण होता है, जिसे फ़्लो कहते हैं. इस मामले में, फ़्लो तब ट्रिगर होता है, जब कोई खास शर्त पूरी होती हो (इसे कंडिशनल फ़्लो कहा जाता है). शर्त, इसमें परिभाषित किया गया है <Condition> एलिमेंट में बताया जाता है कि अगर एपीआई प्रॉक्सी कॉल किया जाता है, तो /accesstoken संसाधन और अनुरोध क्रिया POST है, फिर GenerateAccessTokenClient नीति को लागू करती है, जिससे ऐक्सेस जनरेट होता है टोकन.

3. आइए, अब उस नीति को देखते हैं जिससे शर्तों के साथ फ़्लो ट्रिगर होता है. क्लिक करें फ़्लो डायग्राम में, GenerateAccessTokenClient नीति का आइकॉन.
   अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है
   कोड व्यू में इस एक्सएमएल कॉन्फ़िगरेशन को लोड किया गया है:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   कॉन्फ़िगरेशन में ये चीज़ें शामिल हैं:

   • <Operation>, जो पहले से तय की गई कई वैल्यू में से एक हो सकती है, तय करता है कि नीति का क्या काम होगा. इस मामले में, यह एक एक्सेस जनरेट करेगा टोकन.
   • टोकन जनरेट होने के एक घंटे (36,00,000 मिलीसेकंड) की समयसीमा खत्म हो जाएगी.
   • <SupportedGrantTypes> में, OAuth <GrantType>, client_credentials बजे इस्तेमाल होने की उम्मीद है (OAuth टोकन के लिए उपभोक्ता कुंजी और सीक्रेट की अदला-बदली करना).
   • दूसरे <GrantType> एलिमेंट से यह पता चलता है कि नीति को कहां देखना है OAuth 2.0 के स्पेसिफ़िकेशन के मुताबिक, ग्रांट टाइप पैरामीटर के लिए एपीआई कॉल. (यह बाद में एपीआई कॉल में दिखेगा). अनुमति के टाइप को एचटीटीपी में भी भेजा जा सकता है हेडर (request.header.grant_type) या फ़ॉर्म पैरामीटर के तौर पर (request.formparam.grant_type).

आपको फ़िलहाल एपीआई प्रॉक्सी के साथ कुछ भी और करने की ज़रूरत नहीं है. बाद के चरणों में, आपको OAuth ऐक्सेस टोकन जनरेट करने के लिए इस एपीआई प्रॉक्सी का इस्तेमाल करना होगा. हालाँकि, सबसे पहले आपको कुछ काम करने होंगे अन्य चीज़ें:

• वह एपीआई प्रॉक्सी बनाएं जिसे आपको OAuth से सुरक्षित करना है.
• कुछ और ऐसे आर्टफ़ैक्ट बनाएं जिनकी मदद से, लोगों के लिए उपभोक्ता कुंजी और उपभोक्ता की जानकारी आसानी से पाई जा सके तो आपको किसी ऐक्सेस टोकन को बदलना होगा.

OAuth से सुरक्षित एपीआई प्रॉक्सी बनाएं

अब वह एपीआई प्रॉक्सी बनाएं जिसे आपको सुरक्षित रखना है. यह वह एपीआई कॉल है आपकी पसंद की कोई चीज़ लौटा देता है. ऐसे मामले में एपीआई प्रॉक्सी, Apigee की मॉकटारगेट सेवा को कॉल करेगा अपना आईपी पता वापस करने के लिए. हालांकि, मान्य OAuth ऐक्सेस पास करने पर ही यह आपको दिखेगा आपके एपीआई कॉल के साथ टोकन शामिल है.

आप यहां जो एपीआई प्रॉक्सी बनाएंगे उसमें एक ऐसी नीति शामिल होगी जो अनुरोध.

1. डेवलप करें > एपीआई प्रॉक्सी पर क्लिक करें.
2. + प्रॉक्सी पर क्लिक करें.
   
3. प्रॉक्सी बनाएं विज़र्ड में, रिवर्स प्रॉक्सी (सबसे सामान्य) चुनें, और आगे बढ़ें पर क्लिक करें.
4. प्रॉक्सी को इनके साथ कॉन्फ़िगर करें:
   

   इस फ़ील्ड में	यह करें
   प्रॉक्सी नाम	डालें: helloworld_oauth2
   प्रोजेक्ट का बुनियादी पाथ	इससे बदलें: /hellooauth2 प्रोजेक्ट बेस पाथ, यूआरएल का हिस्सा होता है. इसका इस्तेमाल एपीआई को अनुरोध करने के लिए किया जाता है प्रॉक्सी.
   मौजूदा एपीआई	डालें: https://mocktarget.apigee.net/ip यह उस टारगेट यूआरएल के बारे में बताता है जिसे Apigee Edge ने एपीआई को अनुरोध करने पर शुरू किया है प्रॉक्सी.
   जानकारी	डालें: hello world protected by OAuth

5. आगे बढ़ें पर क्लिक करें.
6. सामान्य नीतियां पेज पर:

   इस फ़ील्ड में	यह करें
   सुरक्षा: अनुमति देना	चुनें: OAuth 2.0

7. आगे बढ़ें पर क्लिक करें.
8. वर्चुअल होस्ट पेज पर, आगे बढ़ें पर क्लिक करें.
9. बिल्ड पेज पर, पक्का करें कि टेस्ट एनवायरमेंट चुना गया हो और बनाएं और डिप्लॉय करें पर क्लिक करें.
10. खास जानकारी पेज पर, आपको यह स्वीकार करने की सुविधा दिखती है कि आपका नया एपीआई प्रॉक्सी बनाई गई और एपीआई प्रॉक्सी को आपके टेस्ट में डिप्लॉय किया गया पर्यावरण को ध्यान में रखते हुए काम करना.
11. एपीआई प्रॉक्सी का खास जानकारी वाला पेज दिखाने के लिए, प्रॉक्सी में बदलाव करें पर क्लिक करें.
    अभी तक किसी भी व्यक्ति ने चेक इन नहीं किया है ध्यान दें कि इस बार एपीआई प्रॉक्सी अपने-आप डिप्लॉय हो जाता है. 'डिप्लॉयमेंट' पर क्लिक करें यह पक्का करने के लिए ड्रॉप-डाउन मेन्यू कि "जांच" के बगल में हरे रंग का डिप्लॉयमेंट डॉट मौजूद है पर्यावरण को ध्यान में रखते हुए काम करना.