OAuth ile API'nin güvenliğini sağlama

Bu eğitimde, OAuth 2.0 ile API güvenliğini nasıl sağlayacağınız gösterilmektedir.

OAuth, uygulamaların sizin adına bilgilere erişmesini sağlayan bir yetkilendirme protokolüdür kullanıcı adlarını ve şifrelerini ifşa etmesine gerek kalmadan).

OAuth ile güvenlik kimlik bilgileri (kullanıcı adı/şifre veya anahtar/gizli gibi) kullanabilirsiniz. Örneğin:

joe:joes_password (kullanıcıadı:şifre) veya
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (anahtar:gizli)

şuna benzer bir hale gelir:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Erişim jetonu, rastgele bir karakter dizesidir ve geçicidir ( bir zaman alır), bu nedenle bir uygulama iş akışında kullanıcının kimliğini doğrulamak için kimlik bilgilerini aktarmaktan çok daha güvenlidir.

OAuth 2.0 spesifikasyon, "izin türleri" adı verilen farklı mekanizmaları tanımlar ve erişimi dağıtmanız için jetonlar. OAuth 2.0 tarafından tanımlanan en temel izin türü "istemci" olarak adlandırılır girin." Bu izin türünde, OAuth erişim jetonları istemci yerine Bunlar, yukarıdaki örnekte gösterildiği gibi tüketici anahtarı/tüketici sırrı çiftleridir.

Edge'deki istemci kimlik bilgileri izin türü, API proxy'lerindeki politikalar kullanılarak uygulanır. CEVAP tipik OAuth akışı iki adımdan oluşur:

• İstemciden OAuth erişim jetonu oluşturmak için API proxy 1'i çağırın kimlik bilgileri. API proxy'sindeki OAuth v2.0 politikası bu işlemi gerçekleştirir.
• API çağrısında OAuth erişim jetonunu göndermek için API proxy 2'yi çağırın. İlgili içeriği oluşturmak için kullanılan API proxy'si, erişim jetonunu bir OAuth v2.0 politikası kullanarak doğrular.

Gerekenler

• Bir Apigee Edge hesabı. Henüz hesabınız yoksa talimatlarla kaydolabilirsiniz Apigee Oluşturma Edge hesabı.
• makinenizde yüklü cURL komut satırından API çağrıları yapma.

Jeton oluşturan API'yi indirip dağıtma proxy

Bu adımda bir web sitesinden OAuth erişim jetonu oluşturan API proxy'sini API çağrısında gönderilen tüketici anahtarı ve tüketici sırrı. Apigee, Google Ads'de bulunan bunu yapar. Proxy'yi şimdi indirip dağıtacaksınız, ardından daha sonra eğiticide kullanacaksınız. ( bu API proxy'sini kendiniz kolayca oluşturabilirsiniz. Bu indirme ve dağıtma adımı kolaylık içindir ve daha önce oluşturulmuş proxy'leri paylaşmanın ne kadar kolay olduğunu göstermek istiyoruz.)

1. "oauth" dosyasını indirin örnek API proxy'si ZIP dosyasını dosyanızdaki herhangi bir dizine ekleyin bahsedeceğim.
2. https://apigee.com/edge adresine gidin ve oturum açın.
3. Geliştir > API Proxy'leri bölümüne gidin.
4. + Proxy'yi tıklayın.
   
5. Proxy Oluştur sihirbazında, Proxy paketi yükle'yi tıklayın.
6. İndirdiğiniz oauth.zip dosyasını seçin ve İleri'ye dokunun.
7. Oluştur'u tıklayın.
8. Derleme tamamlandıktan sonra yeni proxy'yi görüntülemek için Proxy'yi düzenle'yi tıklayın yazması gerekir.
9. API Proxy düzenleyicisine genel bakış sayfasında Dağıtım açılır menüsünü tıklayın ve test'i seçin. Bu, kuruluşunuzdaki test ortamıdır.
   .
   Onay isteminde Dağıt'ı tıklayın.
   . Dağıtım açılır menüsünü tekrar tıkladığınızda yeşil bir simge proxy'nin dağıtıldığına dikkat edin.
   

Tebrikler! Erişim jetonu oluşturma API'sini başarıyla indirip dağıttınız proxy ekleyebilirsiniz.

OAuth akışını ve politikasını görüntüleyin

API proxy'sinin neler içerdiğine daha yakından bakalım.

1. API proxy düzenleyicisinde Geliştir sekmesini tıklayın. Solda Gezinme bölmesinde iki politika görürsünüz. Ayrıca iki POST göreceksiniz Proxy Endpoints bölümündeki akışlar.

2. Şu giriş altında AccessTokenClientCredential'ı tıklayın: Proxy Endpoints.
   

   XML kodu görünümünde, Flow AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Akış, API proxy'sinde bir işleme adımıdır. Bu durumda akış, belirli bir koşulun karşılanması (koşullu akış olarak adlandırılır). Koşul, şurada tanımlandığı: <Condition> öğesi, API proxy çağrısının /accesstoken kaynağı ve istek fiili POST olduğunda erişimi oluşturan GenerateAccessTokenClient politikasını yürütür. jeton.

3. Şimdi koşullu akışın tetikleyeceği politikayı inceleyelim. Önce GenerateAccessTokenClient politikası simgesini tıklayın.
   .
   Kod görünümüne aşağıdaki XML yapılandırması yüklenir:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Yapılandırma şunları içerir:

   • Önceden tanımlanmış birkaç değerden biri olabilecek <Operation>, politikanın ne yapacağını tanımlar. Bu durumda, yeni bir anahtar kelime jeton.
   • Jetonun süresi, oluşturulduktan 1 saat (3600000 milisaniye) sonra dolar.
   • <SupportedGrantTypes> ürününde, OAuth <GrantType> değerinin client_credentials olması bekleniyor (OAuth jetonu karşılığında tüketici anahtarı ve sırrı değişimi).
   • İkinci <GrantType> öğesi, politikaya nereye bakacağını bildirir OAuth 2.0 spesifikasyonunun gerektirdiği şekilde, izin türü parametresi için API çağrısı. (Bunu daha sonra API çağrısında göreceksiniz). İzin türü, HTTP üzerinden de gönderilebilir başlık (request.header.grant_type) veya form parametresi olarak (request.formparam.grant_type).

Şu an için API proxy'si ile başka bir işlem yapmanıza gerek yoktur. Sonraki adımlarda OAuth erişim jetonu oluşturmak için bu API proxy'sini kullanacaksınız. Ama önce birkaç farklı proje yönetimi diğer bilgiler:

• OAuth ile güvence altına almak istediğiniz API proxy'sini oluşturun.
• Tüketici anahtarı ve tüketici sırrı yaratacak birkaç yapı daha oluşturun bir erişim jetonu almanız gerekir.

OAuth korumalı API proxy'sini oluşturma

Şimdi, korumak istediğiniz API proxy'sini oluşturacaksınız. Bu, her bir kullanıcının istediğiniz bir sonuç döndürür. Bu durumda API proxy'si, Apigee'nin sahte hedef hizmetini çağırır. kullanmanız gerekir. ANCAK bu bilgileri yalnızca geçerli bir OAuth erişimini geçerseniz görürsünüz. jeton.

Burada oluşturduğunuz API proxy'si, isteğinde bulunabilirsiniz.

1. Geliştir > API Proxy'leri bölümüne gidin.
2. + Proxy'yi tıklayın.
   
3. Bir Proxy Oluştur sihirbazında, Ters proxy (en yaygın) seçeneğini belirleyin, ve İleri'yi tıklayın.
4. Proxy'yi aşağıdaki şekilde yapılandırın:
   

   Bu alanda	bunu yap
   Proxy Adı	Şunu girin: helloworld_oauth2
   Proje Temel Yolu	Şununla değiştir: /hellooauth2 Proje Temel Yolu, API'ye istekte bulunmak için kullanılan URL'nin bir parçasıdır temsil eder.
   Mevcut API	Şunu girin: https://mocktarget.apigee.net/ip Bu, Apigee Edge'in API'ye yapılan bir istekte çağırdığı hedef URL'yi tanımlar temsil eder.
   Açıklama	Şunu girin: hello world protected by OAuth

5. İleri'yi tıklayın.
6. Ortak politikalar sayfasında:

   Bu alanda	bunu yap
   Güvenlik: Yetkilendirme	Seçin: OAuth 2.0

7. İleri'yi tıklayın.
8. Virtual Hosts (Sanal Ana Makineler) sayfasında Next (İleri) seçeneğini tıklayın.
9. Build (Derleme) sayfasında test ortamının seçili olduğundan emin olun ve Oluştur ve Dağıt'ı tıklayın.
10. Özet sayfasında, yeni API proxy'nizin ve testinize API proxy'sinin dağıtıldığını bahsedeceğim.
11. API proxy'sine ilişkin Genel bakış sayfasını görüntülemek için Proxy'yi düzenle seçeneğini tıklayın.
    . Bu kez API proxy'sinin otomatik olarak dağıtıldığına dikkat edin. Dağıtım'ı tıklayın. açılır menüden yeşil bir dağıtım noktasının bulunduğundan emin olun bahsedeceğim.