Защитите API с помощью OAuth

В этом руководстве показано, как защитить API с помощью OAuth 2.0.

OAuth — это протокол авторизации, который позволяет приложениям получать доступ к информации от имени пользователей, не требуя от пользователей раскрывать свое имя пользователя и пароль.

При использовании OAuth учетные данные безопасности (например, имя пользователя/пароль или ключ/секрет) заменяются на токен доступа. Например:

joe:joes_password (имя пользователя:пароль) или
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (ключ:секретный)

становится чем-то вроде:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Маркер доступа представляет собой случайную строку символов и является временным (его срок действия должен истечь через относительно короткое время), поэтому его передача для аутентификации пользователя в рабочем процессе приложения гораздо безопаснее, чем передача реальных учетных данных.

Спецификация OAuth 2.0 определяет различные механизмы, называемые «типами предоставления», для распространения токенов доступа для приложений. Самый основной тип предоставления, определенный OAuth 2.0, называется «учетные данные клиента». В этом типе предоставления токены доступа OAuth генерируются в обмен на учетные данные клиента, которые представляют собой пары ключ потребителя/секрет потребителя, как в примере выше.

Тип предоставления учетных данных клиента в Edge реализуется с использованием политик в прокси-серверах API. Типичный вход OAuth включает два этапа:

• Вызовите прокси-сервер API 1 , чтобы сгенерировать токен доступа OAuth на основе учетных данных клиента. Это решается политикой OAuth v2.0 на прокси-сервере API.
• Вызовите прокси-сервер API 2 , чтобы отправить токен доступа OAuth в вызове API. Прокси-сервер API проверяет токен доступа с помощью политики OAuth версии 2.0.

Что вам понадобится

• Учетная запись Apigee Edge. Если у вас его еще нет, вы можете зарегистрироваться, следуя инструкциям в разделе «Создание учетной записи Apigee Edge» .
• cURL установлен на вашем компьютере для выполнения вызовов API из командной строки.

Загрузите и разверните прокси-сервер API, генерирующий токены.

На этом этапе вы создадите прокси-сервер API, который генерирует токен доступа OAuth на основе ключа потребителя и секрета потребителя, отправленных в вызове API. Apigee предоставляет пример прокси-сервера API, который делает это. Сейчас вы загрузите и развернете прокси-сервер, а затем будете использовать его позже в этом руководстве. (Вы можете легко создать этот прокси-сервер API самостоятельно. Этот шаг загрузки и развертывания предназначен для удобства и для того, чтобы показать вам, как легко делиться уже созданными прокси-серверами.)

1. Загрузите ZIP-файл прокси-сервера API oauth в любой каталог вашей файловой системы.
2. Перейдите на https://apigee.com/edge и войдите в систему.
3. Выберите «Разработка» > «Прокси API» на левой панели навигации.
4. Нажмите + Прокси .
   
5. В мастере создания прокси нажмите « Загрузить пакет прокси» .
6. Выберите загруженный файл oauth.zip и нажмите «Далее» .
7. Нажмите Создать .
8. После завершения сборки нажмите «Редактировать прокси» , чтобы просмотреть новый прокси в редакторе прокси API.
9. На странице «Обзор редактора прокси-сервера API» щелкните раскрывающийся список «Развертывание» и выберите «test» . Это тестовая среда в вашей организации.
   
   В запросе подтверждения нажмите « Развернуть» .
   При повторном щелчке раскрывающегося списка «Развертывание» зеленый значок указывает на то, что прокси-сервер развернут в тестовой среде.
   

Так держать! Вы успешно загрузили и развернули прокси-сервер API, генерирующий токены доступа, в своей организации Edge.

Просмотр потока и политики OAuth

Давайте подробнее рассмотрим, что содержит API-прокси.

1. В редакторе прокси API перейдите на вкладку «Разработка» . В левой панели навигатора вы увидите две политики. Вы также увидите два потока POST в разделе Proxy Endpoints .

2. Нажмите AccessTokenClientCredential в разделе Proxy Endpoints .
   

   В представлении XML-кода вы увидите Flow под названием AccessTokenClientCredential :

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>

   Поток — это этап обработки в прокси-сервере API. В этом случае поток запускается при выполнении определенного условия (он называется условным потоком ). Условие, определенное в элементе <Condition> , гласит, что если вызов прокси-сервера API выполняется к ресурсу /accesstoken , а команда запроса — POST , то выполняется политика GenerateAccessTokenClient , которая генерирует токен доступа.

3. Теперь давайте посмотрим на политику, которую будет запускать условный поток. Щелкните значок политики GenerateAccessTokenClient на блок-схеме.
   
   Следующая конфигурация XML загружается в представление кода:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>

   Конфигурация включает в себя следующее:

   • <Operation> , который может быть одним из нескольких предопределенных значений, определяет, что будет делать политика. В этом случае он будет генерировать токен доступа.
   • Срок действия токена истекает через 1 час (3600000 миллисекунд) после создания.
   • В <SupportedGrantTypes> ожидается использование OAuth <GrantType> — client_credentials (обмен потребительского ключа и секрета на токен OAuth).
   • Второй элемент <GrantType> сообщает политике, где искать в вызове API параметр типа предоставления, как того требует спецификация OAuth 2.0. (Вы увидите это позже при вызове API). Тип гранта также может быть отправлен в HTTP-заголовке ( request.header.grant_type ) или как параметр формы ( request.formparam.grant_type ).

На данный момент вам больше ничего делать с прокси-сервером API не нужно. На следующих этапах вы будете использовать этот прокси-сервер API для создания токена доступа OAuth. Но сначала вам нужно сделать еще несколько вещей:

• Создайте прокси-сервер API, который вы действительно хотите защитить с помощью OAuth.
• Создайте еще несколько артефактов, в результате которых вы получите потребительский ключ и потребительский секрет, которые необходимо обменять на токен доступа.

Создайте прокси-сервер API, защищенный OAuth.

Теперь вы создадите прокси-сервер API, который хотите защитить. Это вызов API, который возвращает то, что вы хотите. В этом случае прокси-сервер API вызовет службу ложных целей Apigee, чтобы вернуть ваш IP-адрес. НО, вы сможете увидеть это, только если передадите действительный токен доступа OAuth с вызовом API.

Прокси-сервер API, который вы создаете здесь, будет включать политику, которая проверяет наличие токена OAuth в запросе.

1. Выберите «Разработка» > «Прокси API» на левой панели навигации.
2. Нажмите + Прокси .
   
3. В мастере создания прокси выберите «Обратный прокси-сервер (наиболее распространенный)» и нажмите «Далее» .
4. Настройте прокси следующим образом:
   

   В этой области	сделай это
   Имя прокси	Введите: helloworld_oauth2
   Базовый путь проекта	Измените на: /hellooauth2 Базовый путь проекта — это часть URL-адреса, используемого для запросов к прокси-серверу API.
   Существующий API	Введите: https://mocktarget.apigee.net/ip . Это определяет целевой URL-адрес, который Apigee Edge вызывает при запросе к прокси-серверу API.
   Описание	Введите: hello world protected by OAuth

5. Нажмите Далее .
6. На странице Общие политики :

   В этой области	сделай это
   Безопасность: Авторизация	Выберите: OAuth 2.0.

7. Нажмите Далее .
8. На странице «Виртуальные хосты» нажмите «Далее» .
9. На странице «Сборка» убедитесь, что выбрана тестовая среда, и нажмите « Создать и развернуть» .
10. На странице «Сводка» вы увидите подтверждение того, что ваш новый прокси-сервер API был успешно создан и что прокси-сервер API был развернут в вашей тестовой среде.
11. Нажмите «Редактировать прокси» , чтобы отобразить страницу «Обзор» прокси-сервера API.
    Обратите внимание, что на этот раз прокси-сервер API развертывается автоматически. Щелкните раскрывающийся список «Развертывание», чтобы убедиться, что рядом с «тестовой» средой есть зеленая точка развертывания.