Proteggi un'API con OAuth

Questo tutorial mostra come proteggere un'API con OAuth 2.0.

OAuth è un protocollo di autorizzazione che consente alle app di accedere alle informazioni per conto degli utenti senza che questi debbano divulgare nome utente e password.

Con OAuth, le credenziali di sicurezza (come nome utente/password o chiave/segreto) vengono scambiate con un token di accesso. Ad esempio:

joe:joes_password (username:password) o
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

diventa ad esempio:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Il token di accesso è una stringa casuale di caratteri ed è temporaneo (dovrebbe scadere dopo un periodo di tempo relativamente breve), quindi il suo passaggio per autenticare un utente in un flusso di lavoro dell'app è molto più sicuro rispetto alla trasmissione delle credenziali effettive.

La specifica OAuth 2.0 definisce diversi meccanismi, denominati "tipi di autorizzazione", per la distribuzione dei token di accesso per le app. Il tipo di autorizzazione più basilare definito da OAuth 2.0 è chiamato "credenziali client". In questo tipo di autorizzazione, i token di accesso OAuth vengono generati in cambio di credenziali client, che sono coppie chiave/segreto utente, come nell'esempio precedente.

Il tipo di concessione delle credenziali client in Edge viene implementato utilizzando i criteri nei proxy API. Un tipico flusso OAuth in prevede due passaggi:

• Chiama il proxy API 1 per generare un token di accesso OAuth dalle credenziali del client. Questo problema viene gestito da un criterio OAuth 2.0 sul proxy API.
• Chiama il proxy API 2 per inviare il token di accesso OAuth in una chiamata API. Il proxy API verifica il token di accesso utilizzando un criterio OAuth 2.0.

Che cosa ti serve

• Un account Apigee Edge. Se non ne hai ancora uno, puoi registrarti con le istruzioni riportate nella pagina relativa alla creazione di un account Apigee Edge.
• cURL installato sulla tua macchina per effettuare chiamate API dalla riga di comando.

Scarica ed esegui il deployment di un proxy API per la generazione di token

In questo passaggio, creerai il proxy API che genera un token di accesso OAuth da una chiave e un segreto utente inviati in una chiamata API. Apigee fornisce un proxy API di esempio che esegue questa operazione. Dovrai scaricare ed eseguire il deployment del proxy ora, per poi utilizzarlo in seguito nel tutorial. Puoi creare facilmente questo proxy API in autonomia. Questo passaggio di download e deployment è pensato per praticità e per mostrarti quanto è facile condividere i proxy che sono già stati creati.

1. Scarica il file ZIP del proxy API di esempio "oauth" in qualsiasi directory del tuo file system.
2. Vai ad https://apigee.com/edge e accedi.
3. Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
4. Fai clic su + Proxy.
   
5. Nella procedura guidata Crea proxy, fai clic su Carica bundle proxy.
6. Scegli il file oauth.zip che hai scaricato e fai clic su Avanti.
7. Fai clic su Crea.
8. Una volta completata la build, fai clic su Modifica proxy per visualizzare il nuovo proxy nell'editor proxy API.
9. Nella pagina Panoramica dell'editor proxy API, fai clic sul menu a discesa Deployment e seleziona test. Questo è l'ambiente di test della tua organizzazione.
   
   Alla richiesta di conferma, fai clic su Esegui il deployment.
   Quando fai di nuovo clic sul menu a discesa Deployment, un'icona verde indica che è stato eseguito il deployment del proxy nell'ambiente di test.
   

Complimenti! Hai scaricato ed eseguito il deployment di un proxy API per la generazione di token di accesso nella tua organizzazione Edge.

Visualizzare il flusso e il criterio OAuth

Diamo un'occhiata più da vicino a ciò che contiene il proxy API.

1. Nell'editor proxy API, fai clic sulla scheda Sviluppo. Nel riquadro di navigazione a sinistra, vedrai due criteri. Vedrai anche due flussi POST nella sezione Proxy Endpoints.

2. Fai clic su AccessTokenClientCredential in Proxy Endpoints.
   

   Nella visualizzazione del codice XML, vedrai un Flow chiamato AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Un flusso è un passaggio di elaborazione in un proxy API. In questo caso, il flusso viene attivato quando viene soddisfatta una determinata condizione (denominato flusso condizionale). La condizione, definita nell'elemento <Condition>, indica che se viene effettuata la chiamata proxy API alla risorsa /accesstoken e il verbo della richiesta è POST, esegui il criterio GenerateAccessTokenClient, che genera il token di accesso.

3. Ora diamo un'occhiata al criterio che verrà attivato dal flusso condizionale. Fai clic sull'icona del criterio GenerateAccessTokenClient nel diagramma di flusso.
   
   Nella visualizzazione Codice viene caricata la seguente configurazione XML:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   La configurazione include quanto segue:

   • <Operation>, che può essere uno dei vari valori predefiniti, definisce l'azione del criterio. In questo caso, genererà un token di accesso.
   • Il token scadrà 1 ora (3600000 millisecondi) dopo essere stato generato.
   • In <SupportedGrantTypes>, l'elemento <GrantType> OAuth che dovrebbe essere utilizzato è client_credentials (scambiando una chiave e un secret utente con un token OAuth).
   • Il secondo elemento <GrantType> indica al criterio dove cercare il parametro del tipo di autorizzazione nella chiamata API, come richiesto dalla specifica OAuth 2.0. (lo vedrai in seguito nella chiamata API). Il tipo di autorizzazione può essere inviato anche nell'intestazione HTTP (request.header.grant_type) o come parametro del modulo (request.formparam.grant_type).

Al momento non devi fare altro con il proxy API. Nei passaggi successivi, utilizzerai questo proxy API per generare un token di accesso OAuth. Prima però, devi eseguire altre operazioni:

• Crea il proxy API che vuoi proteggere con OAuth.
• Crea qualche altro artefatto che genererà la chiave e il consumer secret da scambiare con un token di accesso.

Crea il proxy API protetto da OAuth

Ora creerai il proxy API che vuoi proteggere. Questa è la chiamata API che restituisce qualcosa che vuoi. In questo caso, il proxy API chiama il servizio fittizio di Apigee per restituire il tuo indirizzo IP. Tuttavia, sarà visibile solo se passi un token di accesso OAuth valido con la tua chiamata API.

Il proxy API che crei qui includerà un criterio che verifica la presenza di un token OAuth nella richiesta.

1. Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
2. Fai clic su + Proxy.
   
3. Nella procedura guidata Crea un proxy, seleziona Inverti proxy (più comune) e fai clic su Avanti.
4. Configura il proxy con i seguenti metodi:
   

   In questo campo	fai questo
   Nome proxy	Inserisci: helloworld_oauth2
   Percorso di base del progetto	Cambia in: /hellooauth2 Il percorso di base del progetto fa parte dell'URL utilizzato per effettuare richieste al proxy API.
   API esistente	Inserisci: https://mocktarget.apigee.net/ip Questo definisce l'URL di destinazione che Apigee Edge richiama su una richiesta al proxy API.
   Descrizione	Inserisci: hello world protected by OAuth

5. Fai clic su Avanti.
6. Nella pagina Criteri comuni:

   In questo campo	fai questo
   Sicurezza: autorizzazione	Seleziona: OAuth 2.0

7. Fai clic su Avanti.
8. Nella pagina Host virtuali, fai clic su Avanti.
9. Nella pagina Crea, assicurati che l'ambiente di test sia selezionato e fai clic su Crea e implementa.
10. Nella pagina Riepilogo, viene visualizzato un conferma che il nuovo proxy API è stato creato correttamente e che è stato eseguito il deployment del proxy API nell'ambiente di test.
11. Fai clic su Modifica proxy per visualizzare la pagina Panoramica relativa al proxy API.
    Tieni presente che questa volta il deployment del proxy API viene eseguito automaticamente. Fai clic sul menu a discesa Deployment per assicurarti che accanto all'ambiente di test sia presente un punto di deployment verde.