Zabezpieczanie interfejsu API za pomocą protokołu OAuth

Z tego samouczka dowiesz się, jak zabezpieczyć interfejs API, korzystając z protokołu OAuth 2.0.

OAuth to protokół autoryzacji, który umożliwia aplikacjom dostęp do informacji w imieniu: użytkowników bez konieczności podawania nazwy użytkownika i hasła.

Protokół OAuth umożliwia wymianę danych uwierzytelniających (takich jak nazwa użytkownika/hasło lub klucz/klucz tajny) dla tokena dostępu. Na przykład:

joe:joes_password (nazwa użytkownika:hasło) lub
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (klucz:tajny)

zmieni się np. w:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Token dostępu jest losowym ciągiem znaków i ma charakter tymczasowy (powinien wygasnąć po dość krótki czas), dlatego przekazywanie go w celu uwierzytelnienia użytkownika w aplikacji bezpieczniejsze niż przekazywanie rzeczywistych danych logowania.

OAuth 2.0 specyfikacji definiują różne mechanizmy, nazywane „typami przyznawania” do przyznawania dostępu tokeny dla aplikacji. Najbardziej podstawowy typ uwierzytelnienia zdefiniowany przez OAuth 2.0 nosi nazwę „klient dane logowania”. W tym typie uwierzytelnienia tokeny dostępu OAuth są generowane w zamian za klienta. dane logowania, czyli pary klucz/tajny klucz klienta, jak w przykładzie powyżej.

Typ przyznawania danych logowania klienta w Edge jest zaimplementowany za pomocą zasad na serwerach proxy interfejsów API. O typowy przepływ OAuth w usłudze składa się z dwóch etapów:

• Wywołaj serwer proxy 1 interfejsu API, aby wygenerować token dostępu OAuth z klienta dane logowania. Do tego celu służy zasada OAuth 2.0 na serwerze proxy interfejsu API.
• Wywołaj serwer proxy 2 interfejsu API, aby wysłać token dostępu OAuth w wywołaniu interfejsu API. Serwer proxy interfejsu API weryfikuje token dostępu przy użyciu zasady OAuth 2.0.

Czego potrzebujesz

• Konto Apigee Edge. Jeśli jeszcze go nie masz, możesz się zarejestrować, korzystając ze wskazówek dojazdu o tworzeniu Apigee Konto Edge.
• Aplikacja cURL zainstalowana na komputerze i może wykonywać wywołania interfejsu API z poziomu wiersza poleceń.

Pobieranie i wdrażanie interfejsu API do generowania tokenów serwer proxy

W tym kroku utworzysz serwer proxy interfejsu API, który będzie generować token dostępu OAuth z klucza klienta i tajnego klucza klienta wysłane w wywołaniu interfejsu API. Apigee udostępnia przykładowy serwer proxy interfejsu API, który w ten sposób. Pobierz i wdróż serwer proxy teraz, a potem użyjesz go w dalszej części samouczka. (Ty możesz łatwo utworzyć ten serwer proxy interfejsu API samodzielnie. Ten krok pobierania i wdrażania jest wygodny oraz pokazać, jak łatwo można udostępniać już utworzone serwery proxy).

1. Pobierz „oauth” przykładowego serwera proxy interfejsu API ZIP do dowolnego katalogu w pliku systemu.
2. Otwórz stronę https://apigee.com/edge i zaloguj się.
3. Kliknij Programowanie > Serwery proxy interfejsów API na lewym pasku nawigacyjnym.
4. Kliknij + Serwer proxy.
   
5. W kreatorze Utwórz serwer proxy kliknij Prześlij pakiet serwera proxy.
6. Wybierz pobrany plik oauth.zip i kliknij Dalej.
7. Kliknij Utwórz.
8. Po zakończeniu kompilacji kliknij Edytuj serwer proxy, aby wyświetlić nowy serwer proxy. w edytorze serwera proxy API.
9. Na stronie Przegląd edytora proxy interfejsu API kliknij menu Wdrożenie. i wybierz Test. To jest środowisko testowe w Twojej organizacji.
   
   Po wyświetleniu prośby o potwierdzenie kliknij Wdróż.
   Po ponownym kliknięciu menu Wdrażanie zielona ikona oznacza, że serwer proxy jest i wdrożono w środowisku testowym.
   

Doskonale! Udało Ci się pobrać i wdrożyć interfejs API generujący tokeny dostępu serwera proxy do organizacji Edge.

Wyświetl przepływ i zasady dotyczące protokołu OAuth

Przyjrzyjmy się bliżej temu, co zawiera serwer proxy interfejsu API.

1. W edytorze serwera proxy API kliknij kartę Programowanie. Po lewej Nawigator, zobaczysz dwie zasady. Zobaczysz też 2 POST w sekcji Proxy Endpoints.

2. Kliknij AccessTokenClientCredential w sekcji Proxy Endpoints
   

   W widoku kodu XML zobaczysz pole Flow o nazwie AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Przepływ to etap przetwarzania na serwerze proxy interfejsu API. W tym przypadku przepływ jest wyzwalany, gdy: gdy zostanie spełniony określony warunek (jest to tak zwany przepływ warunkowy). Warunek zdefiniowane w element <Condition> oznacza, że jeśli wywołanie serwera proxy interfejsu API zostanie wykonane do zasób /accesstoken, czasownik żądania to POST, a następnie Uruchamia zasadę GenerateAccessTokenClient, która generuje dostęp token.

3. Przyjrzyjmy się teraz zasadzie, która jest wyzwalana przez przepływ warunkowy. Kliknij Ikona zasady GenerateAccessTokenClient na diagramie przepływu.
   
   Poniższa konfiguracja XML jest wczytywana do widoku kodu:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Konfiguracja obejmuje te elementy:

   • <Operation>, która może być jedną z kilku wstępnie zdefiniowanych wartości, który określa zasady do działania. W tym przypadku zostanie wygenerowany dostęp token.
   • Token wygaśnie po 1 godzinie (3600 000 milisekund) od wygenerowania.
   • W <SupportedGrantTypes> protokół OAuth Wartość <GrantType>, która powinna zostać użyta, to client_credentials (wymienianie klucza i tajnego klucza klienta na token OAuth).
   • Drugi element <GrantType> informuje zasadę, gdzie zajrzeć wywołanie interfejsu API dla parametru typu uwierzytelnienia przez interfejs API, zgodnie ze specyfikacją protokołu OAuth 2.0. Zobaczysz to później w wywołaniu interfejsu API. Rodzaj uwierzytelnienia można też wysłać w pliku HTTP nagłówek (request.header.grant_type) lub jako parametr formularza (request.formparam.grant_type).

Obecnie nie musisz nic robić z serwerem proxy interfejsu API. W późniejszych krokach użyjesz tego serwera proxy interfejsu API do wygenerowania tokena dostępu OAuth. Ale najpierw musisz więcej rzeczy:

• Utwórz serwer proxy interfejsu API, który chcesz zabezpieczyć za pomocą protokołu OAuth.
• Utwórz jeszcze kilka artefaktów, aby utworzyć klucz klienta i tajny klucz klienta. musisz wymienić na token dostępu.

Tworzenie serwera proxy interfejsu API chronionego protokołem OAuth

Teraz utworzysz serwer proxy interfejsu API, który chcesz chronić. Jest to wywołanie interfejsu API, zwraca to, czego szukasz. W tym przypadku serwer proxy interfejsu API wywoła usługę celu próbnego Apigee zwracanie adresu IP. Zobaczysz ją tylko wtedy, gdy przekażesz prawidłowy dostęp OAuth za pomocą wywołania interfejsu API.

Utworzony przez Ciebie serwer proxy interfejsu API będzie zawierać zasadę, która sprawdza token OAuth w użytkownika.

1. Kliknij Programowanie > Serwery proxy interfejsów API na lewym pasku nawigacyjnym.
2. Kliknij + Serwer proxy.
   
3. W kreatorze Tworzenie serwera proxy wybierz Odwrotny serwer proxy (najczęstszy). i kliknij Dalej.
4. Skonfiguruj serwer proxy w następujący sposób:
   

   W tym polu	zrób to
   Nazwa serwera proxy	Wpisz: helloworld_oauth2
   Ścieżka bazowa projektu	Zmień na: /hellooauth2 Ścieżka podstawowa projektu to część adresu URL używanego do wysyłania żądań do interfejsu API serwera proxy.
   Istniejący interfejs API	Wpisz: https://mocktarget.apigee.net/ip Definiuje docelowy adres URL, który Apigee Edge wywołuje w żądaniu wysłanym do interfejsu API serwera proxy.
   Opis	Wpisz: hello world protected by OAuth

5. Kliknij Dalej.
6. Na stronie Typowe zasady:

   W tym polu	zrób to
   Zabezpieczenia: autoryzacja	Wybierz: OAuth 2.0.

7. Kliknij Dalej.
8. Na stronie Virtual Hosts (Hosty wirtualne) kliknij Next (Dalej).
9. Na stronie Kompilacja wybierz środowisko testowe. kliknij Create and Deploy (Utwórz i wdróż).
10. Na stronie Podsumowanie zobaczysz potwierdzenie, że nowy serwer proxy interfejsu API został utworzony, a serwer proxy interfejsu API został wdrożony w teście dla środowiska.
11. Kliknij Edytuj serwer proxy, aby wyświetlić stronę Przegląd serwera proxy interfejsu API.
    Zwróć uwagę, że tym razem serwer proxy interfejsu API został wdrożony automatycznie. Kliknij przycisk Deployment sprawdź, czy obok przycisku „test” znajduje się zielona kropka wdrożenia. dla środowiska.