Mengamankan API dengan OAuth

Tutorial ini menunjukkan cara mengamankan API dengan OAuth 2.0.

OAuth adalah protokol otorisasi yang memungkinkan aplikasi mengakses informasi atas nama pengguna tanpa mengharuskan pengguna untuk memberikan nama pengguna dan sandi mereka.

Dengan OAuth, kredensial keamanan (seperti nama pengguna/sandi atau kunci/rahasia) ditukar dengan token akses. Contoh:

joe:joes_password (username:password) atau
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

menjadi seperti ini:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Token akses adalah string karakter acak dan bersifat sementara (harus berakhir setelah waktu yang relatif singkat). Jadi, meneruskan token untuk mengautentikasi pengguna dalam alur kerja aplikasi jauh lebih aman daripada meneruskan kredensial yang sebenarnya.

Spesifikasi OAuth 2.0 menentukan mekanisme yang berbeda, yang disebut "jenis pemberian", untuk mendistribusikan token akses untuk aplikasi. Jenis hibah paling dasar yang ditentukan oleh OAuth 2.0 disebut "kredensial klien". Dalam jenis hibah ini, token akses OAuth dibuat untuk ditukar dengan kredensial klien, yang merupakan pasangan kunci konsumen/rahasia konsumen, seperti contoh di atas.

Jenis pemberian kredensial klien di Edge diterapkan menggunakan kebijakan dalam proxy API. Alur OAuth standar mencakup dua langkah:

• Memanggil proxy API 1 untuk membuat token akses OAuth dari kredensial klien. Kebijakan OAuth v2.0 pada proxy API akan menangani hal ini.
• Memanggil proxy API 2 untuk mengirim token akses OAuth dalam panggilan API. Proxy API memverifikasi token akses menggunakan kebijakan OAuth v2.0.

Yang Anda butuhkan

• Akun Apigee Edge. Jika belum memilikinya, Anda dapat mendaftar dengan rute di Membuat akun Apigee Edge.
• cURL yang diinstal di komputer Anda untuk melakukan panggilan API dari command line.

Mendownload dan men-deploy proxy API yang menghasilkan token

Pada langkah ini, Anda akan membuat proxy API yang menghasilkan token akses OAuth dari kunci konsumen dan rahasia konsumen yang dikirim dalam panggilan API. Apigee memberikan contoh proxy API yang melakukan hal ini. Anda akan mendownload dan men-deploy proxy sekarang, lalu menggunakannya nanti dalam tutorial. (Anda dapat mem-build proxy API ini dengan mudah sendiri. Langkah download dan deploy ini ditujukan untuk memudahkan dan untuk menunjukkan betapa mudahnya membagikan proxy yang telah dibuat.)

1. Download file ZIP contoh 'oauth' ke direktori mana pun di sistem file Anda.
2. Buka https://apigee.com/edge, lalu login.
3. Pilih Develop > API Proxies di menu navigasi sebelah kiri.
4. Klik + Proxy.
   
5. Di wizard Buat Proxy, klik Upload paket proxy.
6. Pilih file oauth.zip yang telah Anda download, lalu klik Next.
7. Klik Create.
8. Setelah proses build selesai, klik Edit proxy untuk melihat proxy baru di editor proxy API.
9. Di halaman Ringkasan Proxy API, klik drop-down Deployment lalu pilih test. Ini adalah lingkungan pengujian di organisasi Anda.
   
   Pada perintah konfirmasi, klik Deploy.
   Saat Anda mengklik drop-down Deployment lagi, ikon hijau menunjukkan bahwa proxy di-deploy ke lingkungan pengujian.
   

Selamat! Anda berhasil mendownload dan men-deploy proxy API akses token yang dihasilkan ke organisasi Edge Anda.

Melihat alur dan kebijakan OAuth

Mari kita pelajari lebih lanjut apa yang terdapat dalam proxy API.

1. Di editor proxy API, klik tab Develop. Di panel Navigator, Anda akan melihat dua kebijakan. Anda juga akan melihat dua alur POST di bagian Proxy Endpoints.

2. Klik AccessTokenClientCredential di bagian Proxy Endpoints.
   

   Dalam tampilan kode XML, Anda akan melihat Flow bernama AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Flow adalah langkah pemrosesan dalam proxy API. Dalam hal ini, alur dipicu saat suatu kondisi terpenuhi (disebut alur bersyarat). Kondisi, yang ditentukan dalam elemen <Condition>, menunjukkan bahwa jika panggilan proxy API dilakukan ke resource /accesstoken, dan kata kerja permintaan adalah POST, maka jalankan kebijakan GenerateAccessTokenClient, yang menghasilkan token akses.

3. Sekarang, mari kita lihat kebijakan yang akan dipicu oleh alur kondisional. Klik ikon kebijakan GenerateAccessTokenClient dalam diagram alur.
   
   Konfigurasi XML berikut dimuat ke dalam tampilan kode:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Konfigurasi tersebut mencakup hal berikut:

   • <Operation>, yang dapat menjadi salah satu dari beberapa nilai yang telah ditetapkan, menentukan tindakan yang akan dilakukan oleh kebijakan. Dalam hal ini, akan menghasilkan token akses.
   • Masa berlaku token adalah 1 jam (3600000 milidetik) setelah dibuat.
   • Di <SupportedGrantTypes>, <GrantType> OAuth yang diharapkan akan digunakan adalah client_credentials (menukar kunci dan rahasia konsumen dengan token OAuth).
   • Elemen <GrantType> kedua memberi tahu kebijakan tentang ke mana harus mencari di panggilan API untuk parameter jenis hibah, seperti yang diwajibkan oleh spesifikasi OAuth 2.0. (Anda akan melihatnya dalam panggilan API nanti). Jenis hibah juga dapat dikirim di header HTTP (request.header.grant_type) atau sebagai parameter formulir (request.formparam.grant_type).

Anda tidak perlu melakukan apa pun dengan proxy API saat ini. Pada langkah selanjutnya, Anda akan menggunakan proxy API ini untuk membuat token akses OAuth. Namun pertama-tama, Anda perlu melakukan beberapa hal lagi:

• Buat proxy API yang sebenarnya ingin Anda amankan dengan OAuth.
• Buat beberapa artefak lain yang akan menghasilkan kunci konsumen dan rahasia konsumen yang harus Anda tukarkan dengan token akses.

Membuat proxy API yang dilindungi OAuth

Sekarang Anda akan membuat proxy API yang ingin dilindungi. Ini adalah panggilan API yang menampilkan sesuatu yang Anda inginkan. Dalam hal ini, proxy API akan memanggil layanan mocktarget Apigee untuk menampilkan alamat IP Anda. NAMUN, Anda hanya akan melihatnya jika meneruskan token akses OAuth yang valid dengan panggilan API.

Proxy API yang Anda buat di sini akan menyertakan kebijakan yang memeriksa token OAuth dalam permintaan.

1. Pilih Develop > API Proxies di menu navigasi sebelah kiri.
2. Klik + Proxy.
   
3. Di wizard Build a Proxy, pilih Reverse proxy (paling umum), lalu klik Next.
4. Konfigurasikan proxy dengan hal berikut:
   

   Di kolom ini	lakukan ini
   Nama Proxy	Masukkan: helloworld_oauth2
   Jalur Dasar Project	Ubah ke: /hellooauth2 Jalur Project Base adalah bagian dari URL yang digunakan untuk membuat permintaan ke proxy API.
   API yang ada	Masukkan: https://mocktarget.apigee.net/ip Kolom ini menentukan URL target yang dipanggil Apigee Edge pada permintaan ke proxy API.
   Deskripsi	Masukkan: hello world protected by OAuth

5. Klik Berikutnya.
6. Di halaman Kebijakan umum:

   Di kolom ini	lakukan ini
   Keamanan: Otorisasi	Pilih: OAuth 2.0

7. Klik Berikutnya.
8. Di halaman Virtual Hosts, klik Next.
9. Di halaman Build, pastikan lingkungan test dipilih, lalu klik Create and Deploy.
10. Di halaman Summary, Anda melihat konfirmasi bahwa proxy API baru berhasil dibuat, dan proxy API telah di-deploy ke lingkungan pengujian.
11. Klik Edit proxy untuk menampilkan halaman Overview untuk proxy API.
    Perhatikan bahwa kali ini proxy API otomatis di-deploy. Klik drop-down Deployment untuk memastikan ada titik deployment hijau di samping lingkungan "test".