Bảo mật API bằng OAuth

Hướng dẫn này chỉ cho bạn cách bảo mật API bằng OAuth 2.0.

OAuth là giao thức uỷ quyền cho phép các ứng dụng truy cập thông tin thay mặt cho của người dùng mà không yêu cầu người dùng tiết lộ tên người dùng và mật khẩu của họ.

Với OAuth, thông tin đăng nhập bảo mật (chẳng hạn như tên người dùng/mật khẩu hoặc khoá/bí mật) sẽ được trao đổi cho một mã truy cập. Ví dụ:

joe:joes_password (username:password) hoặc
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (khoá:bí mật)

sẽ có dạng như sau:

b0uiYwjRZLEo4lEu7ky2GGxHkanN

Mã truy cập là một chuỗi ký tự ngẫu nhiên và mang tính tạm thời (mã sẽ hết hạn sau một khoảng thời gian tương đối ngắn), vì vậy việc truyền mã này để xác thực người dùng trong quy trình làm việc của ứng dụng an toàn hơn nhiều so với việc truyền thông tin xác thực thực tế.

OAuth 2.0 thông số kỹ thuật xác định các cơ chế khác nhau, được gọi là "loại cấp quyền" để phân phối quyền truy cập cho ứng dụng. Loại cấp quyền cơ bản nhất do OAuth 2.0 xác định được gọi là "ứng dụng khách" bằng chứng xác thực". Trong loại quyền này, mã truy cập OAuth sẽ được tạo để đổi lấy khách hàng thông tin xác thực, là cặp khoá của người tiêu dùng/bí mật của người tiêu dùng, như ví dụ ở trên.

Loại cấp thông tin đăng nhập ứng dụng trong Edge được triển khai bằng các chính sách trong proxy API. Đáp quy trình OAuth thông thường bao gồm hai bước:

• Gọi API proxy 1 để tạo mã truy cập OAuth từ ứng dụng thông tin xác thực. Chính sách OAuth phiên bản 2.0 trên proxy API sẽ xử lý việc này.
• Gọi API proxy 2 để gửi mã truy cập OAuth trong lệnh gọi API. Chiến lược phát hành đĩa đơn Proxy API xác minh mã truy cập bằng chính sách OAuth phiên bản 2.0.

Bạn cần có

• Một tài khoản Apigee Edge. Nếu chưa có tài khoản, bạn có thể đăng ký theo hướng dẫn về việc Tạo một Apigee Tài khoản Edge.
• cURL đã được cài đặt trên máy của bạn để thực hiện lệnh gọi API từ dòng lệnh.

Tải xuống và triển khai API tạo mã thông báo proxy

Ở bước này, bạn sẽ tạo proxy API giúp tạo mã truy cập OAuth từ một khoá người dùng và thông tin mật của người dùng được gửi trong lệnh gọi API. Apigee cung cấp một proxy API mẫu làm việc này. Bạn sẽ tải xuống và triển khai proxy ngay bây giờ, sau đó sử dụng proxy vào lúc khác trong hướng dẫn. (Bạn có thể tự tạo proxy API này một cách dễ dàng. Bước tải xuống và triển khai này nhằm thuận tiện cho bạn và cho bạn biết việc chia sẻ các proxy đã được tạo dễ dàng như thế nào.)

1. Tải "oauth" xuống proxy API mẫu ZIP vào bất kỳ thư mục nào trên tệp của bạn hệ thống.
2. Truy cập vào https://apigee.com/edge rồi đăng nhập.
3. Chọn Phát triển > Proxy API trong thanh điều hướng bên trái.
4. Nhấp vào + Proxy.
   
5. Trong trình hướng dẫn Tạo proxy, hãy nhấp vào Tải gói proxy lên.
6. Chọn tệp oauth.zip mà bạn đã tải xuống rồi nhấp vào Tiếp theo.
7. Nhấp vào Tạo.
8. Sau khi quá trình tạo bản dựng hoàn tất, hãy nhấp vào Chỉnh sửa proxy để xem proxy mới trong trình chỉnh sửa proxy API.
9. Trên trang Tổng quan của Trình chỉnh sửa proxy API, hãy nhấp vào trình đơn thả xuống Triển khai rồi chọn kiểm thử. Đây là môi trường thử nghiệm trong tổ chức của bạn.
   
   Khi được nhắc xác nhận, hãy nhấp vào Triển khai.
   Khi bạn nhấp lại vào trình đơn thả xuống Triển khai, biểu tượng màu xanh lục cho biết proxy là được triển khai vào môi trường thử nghiệm.
   

Bạn làm tốt lắm! Bạn đã tải xuống và triển khai thành công một API tạo mã truy cập proxy cho tổ chức Edge của bạn.

Xem quy trình và chính sách OAuth

Hãy cùng xem xét kỹ hơn về nội dung proxy API.

1. Trong trình chỉnh sửa proxy API, hãy nhấp vào thẻ Phát triển. Ở bên trái Ngăn Navigator (Trình điều hướng), bạn sẽ thấy 2 chính sách. Bạn cũng sẽ thấy hai nút POST trong phần Proxy Endpoints.

2. Nhấp vào AccessTokenClientCredential trong Proxy Endpoints.
   

   Trong khung hiển thị mã XML, bạn sẽ thấy một Flow có tên là AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   Luồng là một bước xử lý trong proxy API. Trong trường hợp này, luồng được kích hoạt khi một điều kiện nhất định được đáp ứng (được gọi là luồng có điều kiện). Điều kiện, được xác định trong phần tử <Condition> cho biết rằng nếu lệnh gọi proxy API được thực hiện đến tài nguyên /accesstoken và động từ yêu cầu là POST, sau đó thực thi chính sách GenerateAccessTokenClient để tạo quyền truy cập mã thông báo.

3. Bây giờ, hãy xem chính sách mà quy trình có điều kiện sẽ kích hoạt. Nhấp vào Biểu tượng chính sách GenerateAccessTokenClient trong sơ đồ luồng.
   
   Cấu hình XML sau đây được tải vào khung hiển thị mã:

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   Cấu hình bao gồm:

   • <Operation>, có thể là một trong nhiều giá trị được xác định trước, xác định mục đích của chính sách. Trong trường hợp này, hệ thống sẽ tạo quyền truy cập mã thông báo.
   • Mã thông báo sẽ hết hạn sau 1 giờ (3600000 mili giây) sau khi được tạo.
   • Trong <SupportedGrantTypes>, OAuth <GrantType> dự kiến được sử dụng là client_credentials (đổi khoá và thông tin bí mật của người dùng lấy mã thông báo OAuth).
   • Phần tử <GrantType> thứ hai cho chính sách biết nơi cần tìm lệnh gọi API cho tham số loại cấp theo yêu cầu trong thông số kỹ thuật OAuth 2.0. (Bạn sẽ thấy mã này trong lệnh gọi API sau). Loại giấy phép cũng có thể được gửi trong HTTP tiêu đề (request.header.grant_type) hoặc dưới dạng thông số biểu mẫu (request.formparam.grant_type).

Hiện tại, bạn không cần phải làm gì khác với proxy API. Trong các bước sau, bạn sẽ dùng proxy API này để tạo mã truy cập OAuth. Nhưng trước tiên, bạn cần thực hiện một vài những tính năng khác:

• Tạo proxy API mà bạn thực sự muốn bảo mật bằng OAuth.
• Tạo thêm một vài cấu phần phần mềm sẽ dẫn đến khóa của người dùng và thông tin mật của người dùng bạn cần đổi lấy mã truy cập.

Tạo proxy API được bảo vệ bằng OAuth

Bây giờ, bạn sẽ tạo proxy API mà bạn muốn bảo vệ. Đây là lệnh gọi API trả về thông tin bạn muốn. Trong trường hợp này, proxy API sẽ gọi dịch vụ mocktarget của Apigee để trả lại địa chỉ IP của bạn. NHƯNG, bạn sẽ chỉ thấy phần mở rộng này nếu vượt qua quy trình truy cập OAuth hợp lệ mã thông báo với lệnh gọi API.

Proxy API mà bạn tạo ở đây sẽ chứa một chính sách kiểm tra mã thông báo OAuth trong của bạn.

1. Chọn Phát triển > Proxy API trong thanh điều hướng bên trái.
2. Nhấp vào + Proxy.
   
3. Trong trình hướng dẫn Tạo proxy, hãy chọn Đảo ngược proxy (phổ biến nhất), rồi nhấp vào Tiếp theo.
4. Định cấu hình proxy bằng các thành phần sau:
   

   Trong trường này	làm việc này
   Tên proxy	Nhập: helloworld_oauth2
   Đường dẫn cơ sở dự án	Đổi thành: /hellooauth2 Đường dẫn cơ sở dự án là một phần của URL dùng để gửi yêu cầu đến API proxy.
   API hiện có	Nhập: https://mocktarget.apigee.net/ip Thao tác này xác định URL mục tiêu mà Apigee Edge gọi trong yêu cầu gửi đến API proxy.
   Nội dung mô tả	Nhập: hello world protected by OAuth

5. Nhấp vào Tiếp theo.
6. Trên trang Các chính sách chung:

   Trong trường này	làm việc này
   Bảo mật: Uỷ quyền	Chọn: OAuth 2.0

7. Nhấp vào Tiếp theo.
8. Trên trang Virtual Hosts (Máy chủ lưu trữ ảo), hãy nhấp vào Next (Tiếp theo).
9. Trên trang Build (Tạo), hãy nhớ chọn môi trường kiểm thử rồi nhấp vào Tạo và triển khai.
10. Trên trang Tóm tắt, bạn sẽ thấy xác nhận rằng proxy API mới của mình đã được tạo thành công và proxy API đã được triển khai cho thử nghiệm của bạn môi trường.
11. Nhấp vào Chỉnh sửa proxy để hiển thị trang Tổng quan cho proxy API.
    Xin lưu ý rằng lần này proxy API sẽ tự động được triển khai. Nhấp vào Triển khai trình đơn thả xuống để đảm bảo có một chấm triển khai màu xanh lục bên cạnh "kiểm thử" môi trường.