Bảo mật API bằng OAuth

Hướng dẫn này chỉ cho bạn cách bảo mật API bằng OAuth 2.0.

OAuth là giao thức uỷ quyền cho phép các ứng dụng thay mặt người dùng truy cập vào thông tin mà không yêu cầu người dùng tiết lộ tên người dùng và mật khẩu của họ.

Với OAuth, thông tin đăng nhập bảo mật (chẳng hạn như tên người dùng/mật khẩu hoặc khoá/mật khẩu) được đổi lấy một mã truy cập. Ví dụ:

joe:joes_password (username:password) hoặc
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

sẽ trở thành dạng như sau:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Mã truy cập là một chuỗi ký tự ngẫu nhiên và chỉ là tạm thời (mã sẽ hết hạn sau một khoảng thời gian tương đối ngắn). Vì vậy, việc truyền mã này để xác thực người dùng trong quy trình công việc của ứng dụng sẽ an toàn hơn nhiều so với việc truyền thông tin đăng nhập thực tế.

Thông số kỹ thuật của OAuth 2.0 xác định các cơ chế khác nhau, được gọi là "loại cấp quyền" để phân phối mã truy cập cho các ứng dụng. Hình thức cấp cơ bản nhất do OAuth 2.0 xác định được gọi là "thông tin xác thực ứng dụng". Trong loại tài trợ này, mã thông báo truy cập OAuth được tạo để đổi lấy thông tin đăng nhập ứng dụng. Đây là các cặp khoá người dùng/thông tin bí mật của người tiêu dùng, như ví dụ trên.

Loại cấp thông tin đăng nhập ứng dụng trong Edge được triển khai bằng các chính sách trong proxy API. Một quy trình OAuth thông thường bao gồm 2 bước:

• Gọi proxy API 1 để tạo mã truy cập OAuth từ thông tin xác thực của ứng dụng. Chính sách OAuth phiên bản 2.0 trên proxy API sẽ xử lý vấn đề này.
• Gọi proxy API 2 để gửi mã truy cập OAuth trong lệnh gọi API. Proxy API xác minh mã truy cập bằng chính sách OAuth phiên bản 2.0.

Bạn cần có

• Một tài khoản Apigee Edge. Nếu chưa có tài khoản này, bạn có thể đăng ký theo hướng dẫn trong bài viết Tạo tài khoản Apigee Edge.
• cURL được cài đặt trên máy của bạn để thực hiện lệnh gọi API từ dòng lệnh.

Tải xuống và triển khai proxy API tạo mã thông báo

Ở bước này, bạn sẽ tạo proxy API để tạo mã truy cập OAuth từ khoá người dùng và thông tin mật của người dùng được gửi trong lệnh gọi API. Apigee cung cấp một proxy API mẫu để thực hiện việc này. Bạn sẽ tải xuống và triển khai proxy ngay bây giờ, sau đó sử dụng proxy sau trong hướng dẫn. (Bạn có thể tự tạo proxy API này một cách dễ dàng. Bước tải xuống và triển khai này để thuận tiện và cho bạn thấy việc chia sẻ các proxy đã được tạo dễ dàng như thế nào.)

1. Tải proxy API mẫu ' OAuth' xuống tệp ZIP vào bất kỳ thư mục nào trên hệ thống tệp của bạn.
2. Truy cập https://apigee.com/edge rồi đăng nhập.
3. Chọn Phát triển > Proxy API trong thanh điều hướng bên trái.
4. Nhấp vào + Proxy.
   
5. Trong trình hướng dẫn Create Proxy (Tạo proxy), hãy nhấp vào Tải gói proxy lên.
6. Chọn tệp oauth.zip mà bạn đã tải xuống rồi nhấp vào Tiếp theo.
7. Nhấp vào Tạo.
8. Sau khi quá trình tạo hoàn tất, hãy nhấp vào Edit proxy (Chỉnh sửa proxy) để xem proxy mới trong trình chỉnh sửa proxy API.
9. Trên trang Tổng quan của trình chỉnh sửa proxy API, nhấp vào trình đơn thả xuống Triển khai và chọn kiểm thử. Đây là môi trường thử nghiệm trong tổ chức của bạn.
   
   Khi có lời nhắc xác nhận, hãy nhấp vào Triển khai.
   Khi bạn nhấp lại vào trình đơn thả xuống Triển khai, biểu tượng màu xanh lục cho biết proxy đã được triển khai đến môi trường kiểm thử.
   

Bạn làm tốt lắm! Bạn đã tải xuống và triển khai thành công một proxy API tạo mã truy cập cho tổ chức của mình trong Edge.

Xem quy trình và chính sách OAuth

Hãy cùng tìm hiểu kỹ hơn về nội dung của proxy API.

1. Trong trình chỉnh sửa proxy API, nhấp vào thẻ Phát triển. Trong ngăn Trình điều hướng bên trái, bạn sẽ thấy 2 chính sách. Bạn cũng sẽ thấy 2 luồng POST trong phần Proxy Endpoints.

2. Nhấp vào AccessTokenClientCredential trong Proxy Endpoints.
   

   Trong chế độ xem mã XML, bạn sẽ thấy một Flow có tên là AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Luồng (flow) là một bước xử lý trong proxy API. Trong trường hợp này, luồng được kích hoạt khi đáp ứng một điều kiện nhất định (được gọi là luồng có điều kiện). Điều kiện được xác định trong phần tử <Condition> cho biết rằng nếu lệnh gọi proxy API được thực hiện đến tài nguyên /accesstoken và động từ yêu cầu là POST, thì hãy thực thi chính sách GenerateAccessTokenClient để tạo mã truy cập.

3. Bây giờ, hãy xem chính sách mà quy trình có điều kiện sẽ kích hoạt. Nhấp vào biểu tượng chính sách GenerateAccessTokenClient trong sơ đồ quy trình.
   
   Cấu hình XML sau đây được tải vào chế độ xem mã:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Cấu hình này bao gồm những mục sau:

   • <Operation>, có thể là một trong nhiều giá trị được xác định trước, sẽ xác định hành động mà chính sách sẽ thực hiện. Trong trường hợp này, giá trị này sẽ tạo mã truy cập.
   • Mã thông báo sẽ hết hạn sau 1 giờ (3600000 mili giây) sau khi được tạo.
   • Trong <SupportedGrantTypes>, OAuth <GrantType> dự kiến sẽ được sử dụng là client_credentials (đổi khoá người dùng và thông tin bí mật lấy mã thông báo OAuth).
   • Phần tử <GrantType> thứ hai cho chính sách biết vị trí cần tìm trong lệnh gọi API cho tham số loại cấp quyền, theo yêu cầu của thông số kỹ thuật OAuth 2.0. (Bạn sẽ thấy tên này trong lệnh gọi API sau). Bạn cũng có thể gửi loại tài trợ trong tiêu đề HTTP (request.header.grant_type) hoặc dưới dạng tham số biểu mẫu (request.formparam.grant_type).

Hiện tại, bạn không cần phải làm gì với proxy API. Trong các bước sau, bạn sẽ dùng proxy API này để tạo mã truy cập OAuth. Nhưng trước tiên, bạn cần làm thêm một vài bước nữa:

• Tạo proxy API mà bạn thực sự muốn bảo mật bằng OAuth.
• Tạo thêm một vài cấu phần phần mềm sẽ tạo ra khoá của người dùng và thông tin mật của người dùng mà bạn cần để đổi lấy mã truy cập.

Tạo proxy API được bảo vệ bằng OAuth

Bây giờ, bạn sẽ tạo proxy API mà bạn muốn bảo vệ. Đây là lệnh gọi API trả về nội dung bạn muốn. Trong trường hợp này, proxy API sẽ gọi dịch vụ mục tiêu mô phỏng của Apigee để trả về địa chỉ IP của bạn. NHƯNG, bạn sẽ chỉ thấy mã này nếu truyền mã truy cập OAuth hợp lệ thông qua lệnh gọi API.

Proxy API mà bạn tạo ở đây sẽ bao gồm một chính sách kiểm tra mã thông báo OAuth trong yêu cầu.

1. Chọn Phát triển > Proxy API trong thanh điều hướng bên trái.
2. Nhấp vào + Proxy.
   
3. Trong trình hướng dẫn Build a Proxy (Tạo proxy), hãy chọn phiếu proxy ngược (phổ biến nhất) rồi nhấp vào Next (Tiếp theo).
4. Định cấu hình proxy bằng các thao tác sau:
   

   Trong trường này	thực hiện thao tác này
   Tên proxy	Nhập: helloworld_oauth2
   Project Base Path (Đường dẫn cơ sở của dự án)	Đổi thành: /hellooauth2 Project Base Path là một phần của URL dùng để gửi yêu cầu đến proxy API.
   API hiện tại	Nhập: https://mocktarget.apigee.net/ip Đoạn mã này xác định URL mục tiêu mà Apigee Edge gọi trong một yêu cầu tới proxy API.
   Mô tả	Nhập: hello world protected by OAuth

5. Nhấp vào Tiếp theo.
6. Trên trang Các chính sách phổ biến:

   Trong trường này	thực hiện thao tác này
   Bảo mật: Uỷ quyền	Chọn: OAuth 2.0

7. Nhấp vào Tiếp theo.
8. Trên trang Virtual Hosts (Máy chủ ảo), hãy nhấp vào Next (Tiếp theo).
9. Trên trang Build (Tạo), hãy nhớ chọn môi trường test (kiểm thử) rồi nhấp vào Create and Deploy (Tạo và triển khai).
10. Trên trang Tóm tắt, bạn sẽ thấy thông báo xác nhận rằng proxy API mới đã được tạo thành công và proxy API đã được triển khai đến môi trường thử nghiệm.
11. Nhấp vào Chỉnh sửa proxy để hiển thị trang Tổng quan cho proxy API.
    Lưu ý rằng lần này proxy API sẽ tự động được triển khai. Nhấp vào trình đơn thả xuống Triển khai để đảm bảo có một dấu chấm triển khai màu xanh lục bên cạnh môi trường "kiểm thử".