รักษาความปลอดภัย API ด้วย OAuth

บทแนะนำนี้จะแสดงวิธีรักษาความปลอดภัยของ API ด้วย OAuth 2.0

OAuth เป็นโปรโตคอลการให้สิทธิ์ที่อนุญาตให้แอปเข้าถึงข้อมูลในนามของ ผู้ใช้ได้โดยที่ผู้ใช้ไม่ต้องเปิดเผยชื่อผู้ใช้และรหัสผ่าน

เมื่อใช้ OAuth ระบบจะแลกเปลี่ยนข้อมูลเข้าสู่ระบบด้านความปลอดภัย (เช่น ชื่อผู้ใช้/รหัสผ่านหรือคีย์/ข้อมูลลับ) สำหรับโทเค็นเพื่อการเข้าถึง เช่น

joe:joes_password (username:password) หรือ
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (คีย์:ลับ)

จะกลายเป็น

b0uiYwjRZLEo4lEu7ky2GGxHkanN

โทเค็นเพื่อการเข้าถึงเป็นสตริงอักขระที่สุ่มขึ้นและเป็นแบบชั่วคราว (โทเค็นควรหมดอายุหลังจาก ค่อนข้างสั้น) ดังนั้นการส่งต่อเพื่อตรวจสอบสิทธิ์ผู้ใช้ในเวิร์กโฟลว์ของแอปจึง มีความปลอดภัยมากกว่าการส่งต่อข้อมูลเข้าสู่ระบบจริง

OAuth 2.0 ข้อกำหนดเฉพาะ จะกำหนดกลไกที่แตกต่างกัน ซึ่งเรียกว่า "ประเภทการให้สิทธิ์" สำหรับการแจกจ่ายการเข้าถึง โทเค็นสำหรับแอป ประเภทการให้สิทธิ์ขั้นพื้นฐานที่สุดที่กำหนดโดย OAuth 2.0 เรียกว่า "ไคลเอ็นต์ ข้อมูลเข้าสู่ระบบ" ในการให้สิทธิ์ประเภทนี้ ระบบจะสร้างโทเค็นเพื่อการเข้าถึง OAuth เพื่อแลกเปลี่ยนกับไคลเอ็นต์ ข้อมูลเข้าสู่ระบบ ซึ่งก็คือคู่คีย์ของผู้ใช้/ข้อมูลลับของผู้ใช้ดังตัวอย่างด้านบน

ระบบนำประเภทการให้สิทธิ์ข้อมูลเข้าสู่ระบบไคลเอ็นต์ใน Edge ไปใช้ด้วยนโยบายในพร็อกซี API ต ขั้นตอนการใช้งาน OAuth โดยทั่วไปมี 2 ขั้นตอนดังนี้

• เรียกใช้พร็อกซี API 1 เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth จากไคลเอ็นต์ ข้อมูลเข้าสู่ระบบ ซึ่งนโยบาย OAuth v2.0 ในพร็อกซี API จะจัดการเรื่องนี้เอง
• เรียกใช้พร็อกซี API 2 เพื่อส่งโทเค็นการเข้าถึง OAuth ในการเรียก API พร็อกซี API จะยืนยันโทเค็นเพื่อการเข้าถึงโดยใช้นโยบาย OAuth v2.0

สิ่งที่ต้องมี

• บัญชี Apigee Edge หากยังไม่มี คุณสามารถลงชื่อสมัครใช้พร้อมคำแนะนำ ที่การสร้าง Apigee บัญชี Edge
• cURL ที่ติดตั้งไว้ในเครื่องของคุณเพื่อ เรียก API จากบรรทัดคำสั่ง

ดาวน์โหลดและทำให้ API สร้างโทเค็นใช้งานได้ พร็อกซี

ในขั้นตอนนี้ คุณจะสร้างพร็อกซี API ที่สร้างโทเค็นเพื่อการเข้าถึง OAuth จาก รหัสผู้ใช้และข้อมูลลับของผู้ใช้ที่ส่งในการเรียก API Apigee ให้ตัวอย่างพร็อกซี API ที่ ทำเช่นนี้ได้ คุณจะดาวน์โหลดพร็อกซีและทำให้ใช้งานได้ในตอนนี้ จากนั้นใช้พร็อกซีภายหลังในบทแนะนำ (คุณ สามารถสร้างพร็อกซี API นี้ได้อย่างง่ายดายด้วยตนเอง ขั้นตอนการดาวน์โหลดและติดตั้งใช้งานนี้มีไว้เพื่ออำนวยความสะดวก และเพื่อแสดงให้เห็นว่าการแชร์พร็อกซีที่สร้างไว้แล้วนั้นทำได้ง่ายเพียงใด)

1. ดาวน์โหลด "oauth" ตัวอย่างไฟล์ ZIP ของพร็อกซี API ไปยังไดเรกทอรีใดก็ได้ในไฟล์ ระบบ
2. ไปที่ https://apigee.com/edge และลงชื่อเข้าใช้
3. เลือก Develop > พร็อกซี API ในแถบนำทางด้านซ้าย
4. คลิก + พร็อกซี
   
5. ในวิซาร์ดสร้างพร็อกซี ให้คลิกอัปโหลดแพ็กเกจพร็อกซี
6. เลือกไฟล์ oauth.zip ที่คุณดาวน์โหลดไว้ แล้วคลิก ถัดไป
7. คลิกสร้าง
8. หลังจากบิลด์เสร็จสมบูรณ์ ให้คลิกแก้ไขพร็อกซีเพื่อดูพร็อกซีใหม่ ในตัวแก้ไขพร็อกซี API
9. ในหน้าภาพรวมของเครื่องมือแก้ไขพร็อกซี API ให้คลิกเมนูแบบเลื่อนลงการทำให้ใช้งานได้ แล้วเลือกทดสอบ นี่คือสภาพแวดล้อมการทดสอบในองค์กรของคุณ
   
   เมื่อมีข้อความแจ้งการยืนยัน ให้คลิกติดตั้งใช้งาน
   เมื่อคุณคลิกเมนูแบบเลื่อนลง "การทำให้ใช้งานได้" อีกครั้ง ไอคอนสีเขียวแสดงว่าพร็อกซี ที่ใช้กับสภาพแวดล้อมการทดสอบแล้ว
   

เยี่ยมไปเลย คุณดาวน์โหลดและใช้งาน API การสร้างโทเค็นเพื่อการเข้าถึงเรียบร้อยแล้ว พร็อกซีให้กับองค์กร Edge

ดูขั้นตอนและนโยบาย OAuth

มาดูรายละเอียดเกี่ยวกับพร็อกซี API กัน

1. ในตัวแก้ไขพร็อกซี API ให้คลิกแท็บพัฒนา ด้านซ้าย ตัวนำทาง คุณจะเห็นนโยบาย 2 รายการ คุณจะเห็น POST 2 ตัวด้วย ในส่วน Proxy Endpoints

2. คลิก AccessTokenClientCredential Proxy Endpoints
   

   ในมุมมองโค้ด XML คุณจะเห็น Flow ที่ชื่อว่า AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   ขั้นตอนคือขั้นตอนการประมวลผลในพร็อกซี API ในกรณีนี้ โฟลว์จะทำงานเมื่อ เป็นไปตามเงื่อนไขบางอย่าง (เรียกว่าขั้นตอนแบบมีเงื่อนไข) เงื่อนไข กำหนดไว้ใน องค์ประกอบ <Condition> บอกว่าหากมีการเรียกพร็อกซี API ไปยัง ทรัพยากร /accesstoken และกริยาคำขอคือ POST จากนั้น บังคับใช้นโยบาย GenerateAccessTokenClient ซึ่งจะสร้างสิทธิ์เข้าถึง โทเค็น

3. ตอนนี้เรามาดูที่นโยบายที่ขั้นตอนแบบมีเงื่อนไขจะทริกเกอร์ คลิก ไอคอนนโยบาย GenerateAccessTokenClient ในแผนภาพโฟลว์
   
   ระบบจะโหลดการกำหนดค่า XML ต่อไปนี้ลงในมุมมองโค้ด

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   การกำหนดค่าประกอบด้วยข้อมูลต่อไปนี้

   • <Operation> ซึ่งอาจเป็นหนึ่งในค่าที่กำหนดไว้ล่วงหน้าหลายค่า ระบุสิ่งที่นโยบายจะทำ ในกรณีนี้ จะมีการสร้างสิทธิ์การเข้าถึง โทเค็น
   • โทเค็นจะหมดอายุภายใน 1 ชั่วโมง (360,000 มิลลิวินาที) หลังจากที่สร้าง
   • ใน <SupportedGrantTypes> OAuth <GrantType>คาดว่าจะใช้คือ client_credentials (การแลกเปลี่ยนคีย์และข้อมูลลับของผู้ใช้สำหรับโทเค็น OAuth)
   • องค์ประกอบ <GrantType> ที่ 2 จะบอกนโยบายตำแหน่งที่ควรตรวจสอบ มีการเรียก API สำหรับพารามิเตอร์ประเภทการให้สิทธิ์ ตามที่ข้อกำหนด OAuth 2.0 กำหนดไว้ (คุณจะเห็นข้อมูลนี้ในการเรียก API ในภายหลัง) ประเภทการให้สิทธิ์สามารถส่งได้ใน HTTP ส่วนหัว (request.header.grant_type) หรือเป็นพารามิเตอร์แบบฟอร์ม (request.formparam.grant_type)

คุณไม่จำเป็นต้องดำเนินการใดๆ กับพร็อกซี API ในขณะนี้ ในขั้นตอนถัดไป คุณจะใช้พร็อกซี API นี้เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth แต่ก่อนอื่นคุณต้องดำเนินการบางอย่าง สิ่งอื่นๆ:

• สร้างพร็อกซี API ที่ต้องการรักษาความปลอดภัยด้วย OAuth
• สร้างอาร์ติแฟกต์เพิ่มเติมอีก 2-3 รายการที่จะทำให้เกิดรหัสผู้ใช้และข้อมูลลับของผู้ใช้ คุณต้องแลกกับโทเค็นเพื่อการเข้าถึง

สร้างพร็อกซี API ที่ป้องกันด้วย OAuth

ตอนนี้คุณจะสร้างพร็อกซี API ที่ต้องการปกป้อง นี่คือการเรียก API ส่งคืนผลลัพธ์ที่คุณต้องการ ในกรณีนี้ พร็อกซี API จะเรียกใช้บริการจำลองของ Apigee เพื่อส่งคืนที่อยู่ IP ของคุณ แต่จะเห็นรหัสผ่านดังกล่าวก็ต่อเมื่อมีสิทธิ์เข้าถึง OAuth ที่ถูกต้องเท่านั้น ด้วยการเรียก API

พร็อกซี API ที่คุณสร้างที่นี่จะมีนโยบายที่ตรวจหาโทเค็น OAuth ใน อีกครั้ง

1. เลือก Develop > พร็อกซี API ในแถบนำทางด้านซ้าย
2. คลิก + พร็อกซี
   
3. ในวิซาร์ดสร้างพร็อกซี ให้เลือกย้อนกลับพร็อกซี (ใช้บ่อยที่สุด) และคลิกถัดไป
4. กำหนดค่าพร็อกซีด้วยข้อมูลต่อไปนี้
   

   ในฟิลด์นี้	สิ่งที่ควรทำ
   ชื่อพร็อกซี	ป้อน helloworld_oauth2
   เส้นทางฐานของโปรเจ็กต์	เปลี่ยนเป็น: /hellooauth2 เส้นทางฐานของโปรเจ็กต์เป็นส่วนหนึ่งของ URL ที่ใช้ในการส่งคำขอไปยัง API พร็อกซี
   API ที่มีอยู่	ป้อน https://mocktarget.apigee.net/ip ซึ่งระบุ URL เป้าหมายที่ Apigee Edge เรียกใช้ในคำขอที่ส่งไปยัง API พร็อกซี
   คำอธิบาย	ป้อน hello world protected by OAuth

5. คลิกถัดไป
6. ในหน้านโยบายทั่วไป ให้ทำดังนี้

   ในฟิลด์นี้	สิ่งที่ควรทำ
   การรักษาความปลอดภัย: การให้สิทธิ์	เลือก: OAuth 2.0

7. คลิกถัดไป
8. ในหน้าโฮสต์เสมือน ให้คลิกถัดไป
9. ในหน้าสร้าง ให้ตรวจสอบว่าเลือกสภาพแวดล้อมการทดสอบแล้ว และ ให้คลิกสร้างและทำให้ใช้งานได้
10. ในหน้าสรุป คุณจะเห็นการรับทราบว่าพร็อกซี API ใหม่ สร้างสำเร็จแล้ว และพร็อกซี API ใช้งานได้กับการทดสอบของคุณ ของคุณ
11. คลิกแก้ไขพร็อกซีเพื่อแสดงหน้าภาพรวมสำหรับพร็อกซี API
    โปรดสังเกตว่าตอนนี้ระบบจะทำให้พร็อกซี API ใช้งานได้โดยอัตโนมัติ คลิกการทำให้ใช้งานได้ เพื่อดูว่ามีจุดการทำให้ใช้งานได้สีเขียวอยู่ข้าง "ทดสอบ" ของคุณ