Mengamankan API dengan OAuth

Tutorial ini menampilkan cara mengamankan API dengan OAuth 2.0.

OAuth adalah protokol otorisasi yang memungkinkan aplikasi untuk mengakses informasi atas nama pengguna tanpa mengharuskan pengguna untuk membocorkan nama pengguna dan {i>password<i} mereka.

Dengan OAuth, kredensial keamanan (seperti nama pengguna/sandi atau kunci/rahasia) akan ditukarkan untuk token akses. Contoh:

joe:joes_password (username:password) atau
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (kunci:rahasia)

menjadi seperti:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Token akses adalah string karakter acak dan bersifat sementara (harus kedaluwarsa setelah waktu yang relatif singkat), jadi meneruskannya untuk mengautentikasi pengguna dalam alur kerja aplikasi adalah jauh lebih aman daripada meneruskan kredensial aktual.

OAuth 2.0 spesifikasi mendefinisikan mekanisme yang berbeda, yang disebut "jenis pemberian", untuk mendistribusikan akses token untuk aplikasi. Jenis pemberian izin paling dasar yang ditentukan oleh OAuth 2.0 disebut "klien kredensial." Dalam jenis pemberian ini, token akses OAuth dibuat sebagai imbalan atas permintaan klien kredensial, yang merupakan pasangan kunci konsumen/rahasia konsumen, seperti contoh di atas.

Jenis pemberian kredensial klien di Edge diimplementasikan menggunakan kebijakan di proxy API. J alur OAuth umum dalam melibatkan dua langkah:

• Call API proxy 1 untuk membuat token akses OAuth dari klien memiliki kredensial yang lengkap. Kebijakan OAuth v2.0 di proxy API akan menangani hal ini.
• Call API proxy 2 untuk mengirim token akses OAuth dalam panggilan API. Tujuan Proxy API memverifikasi token akses menggunakan kebijakan OAuth v2.0.

Yang Anda butuhkan

• Akun Apigee Edge. Jika belum memilikinya, Anda dapat mendaftar dengan petunjuk arah di Membuat Apigee Akun Edge.
• cURL yang diinstal di komputer Anda untuk melakukan panggilan API dari command line.

Mendownload dan men-deploy API pembuatan token {i>proxy<i}

Pada langkah ini, Anda akan membuat proxy API yang membuat token akses OAuth dari kunci konsumen dan rahasia konsumen yang dikirim dalam panggilan API. Apigee menyediakan contoh proxy API yang melakukan hal ini. Anda akan mendownload dan men-deploy proxy sekarang, lalu menggunakannya nanti dalam tutorial. (Anda Anda sendiri dapat membangun proxy API ini dengan mudah. Langkah download dan deploy ini untuk kemudahan dan untuk menunjukkan kepada Anda betapa mudahnya untuk berbagi {i>proxy<i} yang telah dibuat.)

1. Download 'oauth' contoh file ZIP proxy API ke direktori mana pun pada file Anda sistem file.
2. Buka https://apigee.com/edge, lalu login.
3. Pilih Develop > Proxy API di menu navigasi sebelah kiri.
4. Klik + Proxy.
   
5. Di wizard Create Proxy, klik Upload proxy bundle.
6. Pilih file oauth.zip yang Anda download, lalu klik Berikutnya.
7. Klik Buat.
8. Setelah build selesai, klik Edit proxy untuk melihat proxy baru di editor proxy API.
9. Di halaman Ringkasan editor Proxy API, klik drop-down Deployment dan pilih test. Ini adalah lingkungan pengujian di organisasi Anda.
   
   Pada perintah konfirmasi, klik Deploy.
   Saat Anda mengklik lagi drop-down Deployment, ikon hijau menunjukkan bahwa proxy yang di-deploy ke lingkungan pengujian.
   

Selamat! Anda telah berhasil mendownload dan men-deploy API pembuatan token akses ke organisasi Edge Anda.

Melihat alur dan kebijakan OAuth

Mari kita pelajari lebih lanjut apa yang terdapat di proxy API.

1. Di editor proxy API, klik tab Develop. Di sebelah kiri Navigator, Anda akan melihat dua kebijakan. Anda juga akan melihat dua POST flow di bagian Proxy Endpoints.

2. Klik AccessTokenClientCredential di bagian Proxy Endpoints.
   

   Dalam tampilan kode XML, Anda akan melihat Flow yang disebut AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Flow adalah langkah pemrosesan di proxy API. Dalam hal ini, alur akan terpicu saat kondisi tertentu terpenuhi (disebut alur bersyarat). Kondisi tersebut, didefinisikan dalam elemen <Condition>, menyebutkan bahwa jika panggilan proxy API dilakukan untuk resource /accesstoken, dan kata kerja permintaan adalah POST, lalu mengeksekusi kebijakan GenerateAccessTokenClient, yang menghasilkan akses sebelumnya yang benar.

3. Sekarang, mari kita lihat kebijakan yang akan dipicu oleh alur kondisional. Klik Ikon kebijakan GenerateAccessTokenClient dalam diagram alur.
   
   Konfigurasi XML berikut dimuat ke dalam tampilan kode:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Konfigurasi ini mencakup hal berikut:

   • <Operation>, yang dapat berupa salah satu dari beberapa nilai yang telah ditentukan, mendefinisikan apa yang akan dilakukan oleh kebijakan tersebut. Dalam hal ini, ini akan menghasilkan akses sebelumnya yang benar.
   • Masa berlaku token akan berakhir 1 jam (3600000 milidetik) setelah dibuat.
   • Di <SupportedGrantTypes>, OAuth <GrantType> yang diperkirakan akan digunakan adalah client_credentials (bertukar kunci dan rahasia konsumen untuk token OAuth).
   • Elemen <GrantType> kedua memberi tahu kebijakan tempat untuk memeriksa panggilan API untuk parameter jenis pemberian, seperti yang diwajibkan oleh spesifikasi OAuth 2.0. (Anda akan melihat ini di panggilan API nanti). Jenis pemberian izin juga dapat dikirim dalam bentuk header (request.header.grant_type) atau sebagai parameter formulir (request.formparam.grant_type).

Saat ini, Anda tidak perlu melakukan apa pun terhadap proxy API. Pada langkah selanjutnya, Anda akan menggunakan proxy API ini untuk membuat token akses OAuth. Tapi pertama-tama, Anda perlu melakukan beberapa hal lainnya:

• Buat proxy API yang sebenarnya ingin Anda amankan dengan OAuth.
• Buat beberapa artefak lain yang akan menghasilkan kunci konsumen dan rahasia konsumen Anda harus menukar sebuah token akses.

Membuat proxy API yang dilindungi OAuth

Sekarang Anda akan membuat proxy API yang ingin dilindungi. Ini adalah panggilan API yang menghasilkan sesuatu yang Anda inginkan. Dalam hal ini, proxy API akan memanggil layanan mocktarget Apigee untuk mengembalikan alamat IP Anda. TETAPI, Anda akan melihatnya hanya jika Anda meneruskan akses OAuth yang valid token akses dengan panggilan API Anda.

Proxy API yang Anda buat di sini akan menyertakan kebijakan yang memeriksa token OAuth di permintaan.

1. Pilih Develop > Proxy API di menu navigasi sebelah kiri.
2. Klik + Proxy.
   
3. Di wizard Build a Proxy, pilih Reverse proxy (paling umum), lalu klik Berikutnya.
4. Konfigurasi proxy dengan hal berikut:
   

   Di kolom ini	lakukan ini
   Nama Proxy	Masukkan: helloworld_oauth2
   Jalur Dasar Project	Ubah menjadi: /hellooauth2 Jalur Dasar Project adalah bagian dari URL yang digunakan untuk membuat permintaan ke API {i>proxy<i}.
   API yang sudah ada	Masukkan: https://mocktarget.apigee.net/ip Ini menentukan URL target yang dipanggil Apigee Edge pada permintaan ke API {i>proxy<i}.
   Deskripsi	Masukkan: hello world protected by OAuth

5. Klik Berikutnya.
6. Di halaman Kebijakan umum:

   Di kolom ini	lakukan ini
   Keamanan: Otorisasi	Pilih: OAuth 2.0

7. Klik Berikutnya.
8. Di halaman Virtual Hosts, klik Next.
9. Di halaman Build, pastikan lingkungan test dipilih, dan klik Create and Deploy.
10. Di halaman Summary, Anda melihat konfirmasi bahwa proxy API baru Anda berhasil dibuat, dan proxy API sudah di-deploy untuk pengujian Anda lingkungan fleksibel App Engine.
11. Klik Edit proxy untuk menampilkan halaman Ringkasan untuk proxy API.
    Perhatikan bahwa kali ini proxy API di-deploy secara otomatis. Klik Deployment untuk memastikan ada titik deployment hijau di sebelah "test" lingkungan fleksibel App Engine.