รักษาความปลอดภัย API ด้วย OAuth

บทแนะนำนี้จะแสดงวิธีรักษาความปลอดภัยของ API ด้วย OAuth 2.0

OAuth เป็นโปรโตคอลการให้สิทธิ์ที่อนุญาตให้แอปเข้าถึงข้อมูลในนามของผู้ใช้ได้โดยไม่จำเป็นต้องให้ผู้ใช้เปิดเผยชื่อผู้ใช้และรหัสผ่าน

เมื่อใช้ OAuth ข้อมูลเข้าสู่ระบบความปลอดภัย (เช่น ชื่อผู้ใช้/รหัสผ่าน หรือคีย์/ข้อมูลลับ) จะแลกเปลี่ยนเป็นโทเค็นเพื่อการเข้าถึง เช่น

joe:joes_password (username:password) หรือ
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

ได้กลายเป็น

b0uiYwjRZLEo4lEu7ky2GGxHkanN

โทเค็นเพื่อการเข้าถึงเป็นสตริงอักขระแบบสุ่มและมีอายุใช้งานชั่วคราว (ควรหมดอายุหลังจากผ่านไปไม่นาน) ดังนั้นการส่งต่อโทเค็นเพื่อตรวจสอบสิทธิ์ผู้ใช้ในเวิร์กโฟลว์ของแอปจึงปลอดภัยกว่าการส่งต่อข้อมูลเข้าสู่ระบบจริงมาก

ข้อกำหนดของ OAuth 2.0 กำหนดกลไกต่างๆ ที่เรียกว่า "ประเภทการให้สิทธิ์" สำหรับการกระจายโทเค็นเพื่อการเข้าถึงสำหรับแอป ประเภทการให้สิทธิ์ขั้นพื้นฐานที่สุดที่กำหนดโดย OAuth 2.0 เรียกว่า "ข้อมูลเข้าสู่ระบบไคลเอ็นต์" ในการให้สิทธิ์ประเภทนี้ ระบบจะสร้างโทเค็นเพื่อการเข้าถึง OAuth เพื่อแลกเปลี่ยนกับข้อมูลเข้าสู่ระบบของไคลเอ็นต์ ซึ่งเป็นคู่คีย์ของผู้ใช้/ข้อมูลลับของผู้ใช้ ดังตัวอย่างข้างต้น

ประเภทการให้สิทธิ์ข้อมูลเข้าสู่ระบบไคลเอ็นต์ใน Edge มีการใช้งานโดยใช้นโยบายในพร็อกซี API ขั้นตอน OAuth โดยทั่วไปจะมี 2 ขั้นตอนดังนี้

• เรียกใช้พร็อกซี API 1 เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth จากข้อมูลเข้าสู่ระบบของไคลเอ็นต์ นโยบาย OAuth เวอร์ชัน 2.0 ในพร็อกซี API จะจัดการเรื่องนี้
• เรียกพร็อกซี API 2 เพื่อส่งโทเค็นเพื่อการเข้าถึง OAuth ในการเรียก API พร็อกซี API จะยืนยันโทเค็นเพื่อการเข้าถึงโดยใช้นโยบาย OAuth v2.0

สิ่งที่ต้องมี

• บัญชี Apigee Edge หากยังไม่มี คุณลงชื่อสมัครใช้ได้โดยใช้คำแนะนำที่การสร้างบัญชี Apigee Edge
• cURL ที่ติดตั้งในเครื่องเพื่อเรียก API จากบรรทัดคำสั่ง

ดาวน์โหลดและทำให้พร็อกซี API ที่สร้างโทเค็นใช้งานได้

ในขั้นตอนนี้ คุณจะได้สร้างพร็อกซี API ที่สร้างโทเค็นเพื่อการเข้าถึง OAuth จากรหัสผู้ใช้และข้อมูลลับของผู้ใช้ที่ส่งในการเรียก API Apigee มีพร็อกซี API ตัวอย่างที่ช่วยให้ดำเนินการดังกล่าวได้ คุณจะต้องดาวน์โหลดและทำให้พร็อกซีใช้งานได้ตอนนี้ แล้วนำไปใช้ภายหลังในบทแนะนำ (คุณสามารถสร้างพร็อกซี API นี้ได้ง่ายๆ ด้วยตนเอง ขั้นตอนการดาวน์โหลดและทำให้ใช้งานได้นี้มีไว้เพื่อความสะดวกและเพื่อแสดงให้คุณเห็นว่าการแชร์พร็อกซีที่สร้างไว้แล้วนั้นทำได้ง่ายเพียงใด)

1. ดาวน์โหลดไฟล์ ZIP ตัวอย่าง API ของ "oauth" ไปยังไดเรกทอรีใดก็ได้ในระบบไฟล์
2. ไปที่ https://apigee.com/edge และลงชื่อเข้าใช้
3. เลือกพัฒนา > พร็อกซี API ในแถบนำทางด้านซ้าย
4. คลิก + พร็อกซี
   
5. ในวิซาร์ดสร้างพร็อกซี ให้คลิกอัปโหลดกลุ่มพร็อกซี
6. เลือกไฟล์ oauth.zip ที่คุณดาวน์โหลดไว้ แล้วคลิกถัดไป
7. คลิกสร้าง
8. หลังจากบิลด์เสร็จสมบูรณ์ ให้คลิกแก้ไขพร็อกซีเพื่อดูพร็อกซีใหม่ในตัวแก้ไขพร็อกซี API
9. ในหน้าภาพรวมของตัวแก้ไขพร็อกซี API ให้คลิกเมนูแบบเลื่อนลงการทำให้ใช้งานได้ แล้วเลือกทดสอบ นี่คือสภาพแวดล้อมการทดสอบในองค์กรของคุณ
   
   ที่ข้อความแจ้งให้ยืนยัน ให้คลิกติดตั้งใช้งาน
   เมื่อคลิกเมนูแบบเลื่อนลง "การทำให้ใช้งานได้" อีกครั้ง ไอคอนสีเขียวจะระบุว่าระบบทำให้พร็อกซีใช้งานได้กับสภาพแวดล้อมการทดสอบแล้ว
   

เยี่ยมไปเลย คุณดาวน์โหลดและทำให้พร็อกซี API สร้างโทเค็นเพื่อการเข้าถึงใช้งานได้ในองค์กร Edge เรียบร้อยแล้ว

ดูขั้นตอนและนโยบาย OAuth

มาดูรายละเอียดว่าพร็อกซี API ประกอบด้วยอะไรบ้าง

1. คลิกแท็บพัฒนาในเครื่องมือแก้ไขพร็อกซี API คุณจะเห็น 2 นโยบายในแผง Navigator ด้านซ้าย นอกจากนี้คุณจะเห็นขั้นตอน POST 2 ขั้นตอนในส่วน Proxy Endpoints ด้วย

2. คลิก AccessTokenClientCredential ภายใต้ Proxy Endpoints
   

   ในมุมมองโค้ด XML คุณจะเห็น Flow ชื่อ AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   โฟลว์คือขั้นตอนการประมวลผลในพร็อกซี API ในกรณีนี้ ระบบจะทริกเกอร์โฟลว์เมื่อเป็นไปตามเงื่อนไขบางอย่าง (เรียกว่าขั้นตอนตามเงื่อนไข) เงื่อนไขที่กำหนดไว้ในองค์ประกอบ <Condition> ระบุว่าหากมีการเรียกพร็อกซี API ไปยังทรัพยากร /accesstoken และกริยาคำขอคือ POST ให้เรียกใช้นโยบาย GenerateAccessTokenClient ซึ่งจะสร้างโทเค็นเพื่อการเข้าถึง

3. คราวนี้มาดูที่นโยบายซึ่งโฟลว์แบบมีเงื่อนไขจะเรียกให้แสดง คลิกไอคอนนโยบาย GenerateAccessTokenClient ในแผนภาพโฟลว์
   
   ระบบจะโหลดการกำหนดค่า XML ต่อไปนี้ลงในมุมมองโค้ด

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   การกำหนดค่าประกอบด้วยรายการต่อไปนี้

   • <Operation> ซึ่งอาจเป็นค่าใดค่าหนึ่งที่กำหนดไว้ล่วงหน้า เป็นตัวกำหนดว่านโยบายจะทำอะไร ในกรณีนี้ จะมีการสร้างโทเค็นเพื่อการเข้าถึง
   • โทเค็นนี้จะหมดอายุใน 1 ชั่วโมง (360,000 มิลลิวินาที) หลังจากที่สร้างขึ้น
   • ใน <SupportedGrantTypes> OAuth <GrantType> ที่คาดว่าจะใช้คือ client_credentials (การแลกเปลี่ยนคีย์และข้อมูลลับของผู้ใช้สำหรับโทเค็น OAuth)
   • องค์ประกอบ <GrantType> ที่ 2 บอกนโยบายว่าจะดูที่ใดในการเรียก API สำหรับพารามิเตอร์ประเภทการให้สิทธิ์ ตามที่ข้อกำหนด OAuth 2.0 กำหนด (คุณจะเห็นสิ่งนี้ในการเรียก API ในภายหลัง) ส่งประเภทการให้สิทธิ์ในส่วนหัว HTTP (request.header.grant_type) หรือส่งเป็นพารามิเตอร์ของแบบฟอร์ม (request.formparam.grant_type) ได้ด้วย

คุณไม่จำเป็นต้องดำเนินการใดๆ กับพร็อกซี API ในขณะนี้ ในขั้นตอนถัดไป คุณจะใช้พร็อกซี API นี้เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth แต่ก่อนอื่นคุณต้องทำบางสิ่งเพิ่มเติม

• สร้างพร็อกซี API ที่คุณต้องการรักษาความปลอดภัยด้วย OAuth
• สร้างอาร์ติแฟกต์อีก 2-3 รายการซึ่งจะส่งผลให้มีคีย์ผู้ใช้และข้อมูลลับของผู้ใช้ที่คุณต้องแลกเปลี่ยนกับโทเค็นเพื่อการเข้าถึง

สร้างพร็อกซี API ที่ป้องกันด้วย OAuth

คุณกำลังจะสร้างพร็อกซี API ที่ต้องการปกป้อง นี่คือการเรียก API ที่ส่งคืนสิ่งที่คุณต้องการ ในกรณีนี้ พร็อกซี API จะเรียกบริการ mocktarget ของ Apigee เพื่อแสดงผลที่อยู่ IP ของคุณ แต่คุณจะเห็นรายการนี้ได้ต่อเมื่อคุณส่งโทเค็นเพื่อการเข้าถึง OAuth ที่ถูกต้องพร้อมกับการเรียก API

พร็อกซี API ที่คุณสร้างที่นี่จะมีนโยบายที่ตรวจสอบโทเค็น OAuth ในคำขอ

1. เลือกพัฒนา > พร็อกซี API ในแถบนำทางด้านซ้าย
2. คลิก + พร็อกซี
   
3. ในวิซาร์ด Build a Proxy ให้เลือก Reverseที่ให้ไว้ (ส่วนใหญ่) แล้วคลิก Next
4. กำหนดค่าพร็อกซีด้วยข้อมูลต่อไปนี้
   

   ในช่องนี้	สิ่งที่ต้องทำ
   ชื่อพร็อกซี	ป้อน: helloworld_oauth2
   เส้นทางฐานโปรเจ็กต์	เปลี่ยนเป็น: /hellooauth2 เส้นทางหลักของโปรเจ็กต์เป็นส่วนหนึ่งของ URL ที่ใช้ในการส่งคำขอไปยังพร็อกซี API
   API ที่มีอยู่	ป้อน: https://mocktarget.apigee.net/ip แอตทริบิวต์นี้กำหนด URL เป้าหมายที่ Apigee Edge เรียกใช้ในคำขอที่ส่งไปยังพร็อกซี API
   คำอธิบาย	ป้อน: hello world protected by OAuth

5. คลิกถัดไป
6. ในหน้านโยบายทั่วไป ให้ทำดังนี้

   ในช่องนี้	สิ่งที่ต้องทำ
   ความปลอดภัย: การให้สิทธิ์	เลือก OAuth 2.0

7. คลิกถัดไป
8. ในหน้า Virtual Hosts ให้คลิก Next
9. ในหน้า Build ให้ตรวจสอบว่าได้เลือกสภาพแวดล้อม test แล้ว จากนั้นคลิก Create and Deploy
10. ในหน้าสรุป คุณจะเห็นการรับทราบว่าสร้างพร็อกซี API ใหม่เรียบร้อยแล้ว และทำให้พร็อกซี API ใช้งานได้กับสภาพแวดล้อมการทดสอบ
11. คลิกแก้ไขพร็อกซีเพื่อแสดงหน้าภาพรวมสำหรับพร็อกซี API
    โปรดทราบว่าในตอนนี้ระบบจะทำให้พร็อกซี API ใช้งานได้โดยอัตโนมัติ คลิกเมนูแบบเลื่อนลง "การทำให้ใช้งานได้" เพื่อให้แน่ใจว่ามีจุดการทำให้ใช้งานได้สีเขียวข้างสภาพแวดล้อม "ทดสอบ"