OAuth ile API'nin güvenliğini sağlama

Bu eğitim, OAuth 2.0 kullanarak bir API'nin güvenliğini nasıl sağlayacağınızı gösterir.

OAuth, kullanıcıların kullanıcı adlarını ve şifrelerini belirtmelerine gerek kalmadan uygulamaların kullanıcılar adına bilgilere erişmesini sağlayan bir yetkilendirme protokolüdür.

OAuth ile güvenlik kimlik bilgileri (ör. kullanıcı adı/şifre veya anahtar/sır) erişim jetonu olarak değiştirilir. Örneğin:

joe:joes_password (kullanıcı adı:şifre) veya
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:gizli)

şöyle bir şeye dönüşür:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Erişim jetonu, rastgele bir karakter dizesidir ve geçicidir (nispeten kısa bir süre sonra süresinin sona ermesi gerekir). Bu nedenle, uygulama iş akışında kullanıcının kimliğini doğrulamak için jetonun iletilmesi, gerçek kimlik bilgilerinin yeni bir kısmını iletmekten çok daha güvenlidir.

OAuth 2.0 spesifikasyonu, uygulamalar için erişim jetonları dağıtmak üzere "izin türleri" adı verilen farklı mekanizmalar tanımlar. OAuth 2.0 tarafından tanımlanan en temel izin türü "istemci kimlik bilgileri" olarak adlandırılır. Bu izin türünde OAuth erişim jetonları, yukarıdaki örnekte gösterildiği gibi tüketici anahtarı/tüketici gizli anahtarı çiftleri olan istemci kimlik bilgileri karşılığında oluşturulur.

Edge'deki istemci kimlik bilgileri izin türü, API proxy'lerindeki politikalar kullanılarak uygulanır. Tipik bir OAuth akışı iki adımdan oluşur:

• İstemci kimlik bilgilerinden OAuth erişim jetonu oluşturmak için Call API proxy 1'i seçin. Bu işlem, API proxy'sindeki OAuth v2.0 politikası tarafından yönetilir.
• OAuth erişim jetonunu bir API çağrısında göndermek için Call API proxy 2'yi seçin. API proxy'si, OAuth v2.0 politikası kullanarak erişim jetonunu doğrular.

Gerekenler

• Apigee Edge hesabı. Henüz hesabınız yoksa Apigee Edge hesabı oluşturma sayfasındaki talimatlarla kaydolabilirsiniz.
• Komut satırından API çağrıları yapmak için makinenize cURL yüklenmiştir.

Jeton oluşturan API proxy'si indirin ve dağıtın

Bu adımda, API çağrısında gönderilen bir tüketici anahtarı ve tüketici sırrından OAuth erişim jetonu oluşturan API proxy'si oluşturacaksınız. Apigee, bunu yapan örnek bir API proxy'si sunar. Proxy'yi şimdi indirip dağıtacaksınız ve eğitimde daha sonra kullanacaksınız. (Bu API proxy'sini kendiniz kolayca oluşturabilirsiniz. Bu indirme ve dağıtma adımı kolaylık sağlamak ve önceden oluşturulmuş proxy'leri paylaşmanın ne kadar kolay olduğunu göstermek içindir.)

1. "oauth" örnek API proxy'si ZIP dosyasını, dosya sisteminizdeki herhangi bir dizine indirin.
2. https://apigee.com/edge adresine gidip oturum açın.
3. Sol gezinme çubuğunda Geliştirme > API Proxy'leri öğesini seçin.
4. + Proxy'yi tıklayın.
   
5. Proxy Oluşturma sihirbazında, Proxy paketi yükle'yi tıklayın.
6. İndirdiğiniz oauth.zip dosyasını seçin ve İleri'yi tıklayın.
7. Oluştur'u tıklayın.
8. Derleme tamamlandıktan sonra API proxy düzenleyicisinde yeni proxy'yi görüntülemek için Proxy'yi düzenle'yi tıklayın.
9. API Proxy düzenleyicisine Genel Bakış sayfasında Dağıtım açılır menüsünü tıklayın ve test seçeneğini belirleyin. Bu, kuruluşunuzdaki test ortamıdır.
   
   Onay isteminde Dağıt'ı tıklayın.
   Dağıtım açılır menüsünü tekrar tıkladığınızda yeşil bir simge, proxy'nin test ortamına dağıtıldığını gösterir.
   

Tebrikler! Erişim jetonu oluşturan bir API proxy'sini başarıyla indirip Edge kuruluşunuza dağıttınız.

OAuth akışını ve politikasını görüntüleme

API proxy'sinin içeriğini daha yakından inceleyelim.

1. API proxy düzenleyicisinde Geliştir sekmesini tıklayın. Soldaki Gezgin bölmesinde iki politika görürsünüz. Ayrıca Proxy Endpoints bölümünde iki POST akışı görürsünüz.

2. Proxy Endpoints altındaki AccessTokenClientCredential bağlantısını tıklayın.
   

   XML kodu görünümünde AccessTokenClientCredential adında bir Flow görürsünüz:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Akış, API proxy'sindeki bir işleme adımıdır. Bu durumda, belirli bir koşul karşılandığında akış tetiklenir (buna koşullu akış denir). <Condition> öğesinde tanımlanan koşul, API proxy çağrısı /accesstoken kaynağına yapılırsa ve istek fiili POST ise erişim jetonunu oluşturan GenerateAccessTokenClient politikasını yürütür.

3. Şimdi koşullu akışın tetikleyeceği politikaya göz atalım. Akış şemasında GenerateAccessTokenClient politika simgesini tıklayın.
   
   Aşağıdaki XML yapılandırması kod görünümüne yüklenir:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Yapılandırma şunları içerir:

   • Önceden tanımlanmış birkaç değerden biri olabilen <Operation>, politikanın ne yapacağını tanımlar. Bu örnekte, bir erişim jetonu oluşturur.
   • Jeton, oluşturulduktan 1 saat (360.000 milisaniye) sonra geçerliliğini yitirir.
   • <SupportedGrantTypes> bölgesinde kullanılması beklenen OAuth <GrantType>, client_credentials'dir (tüketici anahtarı ve sırrını OAuth jetonu için değiştirme).
   • İkinci <GrantType> öğesi, politikaya OAuth 2.0 spesifikasyonunun gerektirdiği şekilde izin türü parametresi için API çağrısında nereye bakılacağını bildirir. (Bunu daha sonra API çağrısında görürsünüz). İzin türü, HTTP üst bilgisi içinde (request.header.grant_type) veya form parametresi (request.formparam.grant_type) olarak da gönderilebilir.

Şu anda API proxy'si ile ilgili başka bir işlem yapmanıza gerek yoktur. Sonraki adımlarda, OAuth erişim jetonu oluşturmak için bu API proxy'sini kullanacaksınız. Ancak öncelikle birkaç şey daha yapmanız gerekiyor:

• OAuth ile güvenliğini sağlamak istediğiniz API proxy'sini oluşturun.
• Tüketici anahtarı ve tüketici sırrının erişim jetonuyla değiştirilmesine neden olacak birkaç yapı daha oluşturun.

OAuth korumalı API proxy'si oluşturma

Şimdi, korumak istediğiniz API proxy'sini oluşturacaksınız. Bu, istediğiniz bir şeyi döndüren API çağrısıdır. Bu durumda API proxy'si, IP adresinizi döndürmek için Apigee'nin sahte hedef hizmetini çağırır. ANCAK bunu yalnızca API çağrınızla geçerli bir OAuth erişim jetonu iletirseniz görürsünüz.

Burada oluşturduğunuz API proxy'si, istekte OAuth jetonu olup olmadığını kontrol eden bir politika içerir.

1. Sol gezinme çubuğunda Geliştirme > API Proxy'leri öğesini seçin.
2. + Proxy'yi tıklayın.
   
3. Proxy oluşturun sihirbazında, Ters proxy (en yaygın) seçeneğini belirleyin ve İleri'yi tıklayın.
4. Proxy'yi şu şekilde yapılandırın:
   

   Bu alanda	bunu yap
   Proxy Adı	Şunu girin: helloworld_oauth2
   Proje Temel Yolu	Şununla değiştir: /hellooauth2 Proje Temel Yolu, API proxy'sine istek göndermek için kullanılan URL'nin bir parçasıdır.
   Mevcut API	Şunu girin: https://mocktarget.apigee.net/ip Bu parametre, Apigee Edge'in API proxy'sine yapılan bir istekte çağırdığı hedef URL'yi tanımlar.
   Açıklama	Şunu girin: hello world protected by OAuth

5. İleri'yi tıklayın.
6. Genel politikalar sayfasında:

   Bu alanda	bunu yap
   Güvenlik: Yetkilendirme	Seçin: OAuth 2.0

7. İleri'yi tıklayın.
8. Virtual Hosts (Sanal Barındırıcılar) sayfasında Next (İleri) seçeneğini tıklayın.
9. Derleme sayfasında test ortamının seçili olduğundan emin olun ve Oluştur ve Dağıt'ı tıklayın.
10. Özet sayfasında, yeni API proxy'nizin başarıyla oluşturulduğuna ve API proxy'sinin test ortamınıza dağıtıldığına dair bir onay görürsünüz.
11. API proxy'sine ilişkin Genel Bakış sayfasını görüntülemek için Proxy'yi düzenle'yi tıklayın.
    Bu kez API proxy'sinin otomatik olarak dağıtıldığına dikkat edin. "Test" ortamının yanında yeşil bir dağıtım noktası olduğundan emin olmak için Dağıtım açılır menüsünü tıklayın.