使用 OAuth 保護 API

本教學課程說明如何使用 OAuth 2.0 保護 API。

OAuth 是一種授權通訊協定，可讓應用程式代表 使用者不必另外提供使用者名稱和密碼

使用 OAuth 時，系統會交換安全性憑證 (例如使用者名稱/密碼或金鑰/密鑰) 以取得存取權杖例如：

joe:joes_password (username:password) 或
Nf2moHOASMJeUmXVdDhlMbPaXm2U7eMc:unUOXYpPe74ZfLEb (key:secret)

會變成：

b0uiYwjRZLEo4lEu7ky2GGxHkanN

存取權杖是一組隨機字串，且為臨時字元 (此憑證的 因此，在應用程式工作流程中，傳入此程式碼來驗證使用者身分 比起傳遞實際憑證，安全多了。

OAuth 2.0 規格定義了不同機制，稱為「授權類型」以發布存取權 符記OAuth 2.0 所定義的最基本授權類型稱為「用戶端」 憑證。」在這個授權類型中，系統會產生 OAuth 存取權杖以換取用戶端 憑證，也就是用戶端金鑰/用戶端密鑰組合，如上例所示。

系統會使用 API Proxy 中的政策，實作 Edge 中的用戶端憑證授權類型。A 罩杯 一般 OAuth 流程包含兩個步驟：

• 呼叫 API Proxy 1，從用戶端產生 OAuth 存取權杖 憑證API Proxy 的 OAuth v2.0 政策可以處理這個問題。
• 呼叫 API Proxy 2，在 API 呼叫中傳送 OAuth 存取權杖。 API Proxy 會使用 OAuth v2.0 政策驗證存取權杖。

軟硬體需求

• Apigee Edge 帳戶。如果你還沒有 Google 帳戶，可以透過指示註冊 「建立 Apigee 邊緣帳戶。
• 已在您的電腦上安裝 cURL 透過指令列發出 API 呼叫

下載及部署權杖產生 API Proxy

在這個步驟中，您將建立 API Proxy，用來從 在 API 呼叫中傳送的用戶端金鑰和用戶端密鑰。Apigee 提供範例 API Proxy 這種做法您將立即下載及部署 Proxy，稍後在教學課程中使用。(你 可以輕鬆自行建構這個 API Proxy這個下載及部署步驟很方便 並且示範如何輕鬆共用已建立的 Proxy)。

1. 下載「OAuth」複製到檔案中任何目錄的範例 API Proxy ZIP 檔案 有些人會將 Cloud Storage 視為檔案系統 但實際上不是
2. 前往 https://apigee.com/edge 並登入。
3. 依序選取「開發」>「開發」API Proxy。
4. 按一下「+ Proxy」。
   
5. 在「建立 Proxy」精靈中，按一下「上傳 Proxy 組合」。
6. 選擇已下載的 oauth.zip 檔案，然後按一下 按一下「下一步」。
7. 按一下「建立」。
8. 建構完成後，按一下「編輯 Proxy」即可查看新的 Proxy API Proxy 編輯器中。
9. 在「API Proxy 編輯器總覽」頁面中，按一下「Deployment」下拉式選單 然後選取「測試」。這是貴機構的測試環境。
   
   在確認提示中，按一下「部署」。
   再次點選「Deployment」(部署) 下拉式選單時，出現綠色圖示表示 Proxy 已 部署到測試環境
   

做得好！您已成功下載及部署存取權杖產生 API 連至 Edge 機構

查看 OAuth 流程和政策

讓我們進一步瞭解 API Proxy 包含的內容。

1. 在 API Proxy 編輯器中，按一下「Develop」(開發) 分頁標籤。左側 「Navigator」窗格，會顯示兩項政策。您也會看到兩組POST Proxy Endpoints 區段內的資料流。

2. 按一下 AccessTokenClientCredential Proxy Endpoints。
   

   在 XML 程式碼檢視畫面中，您會看到名為 Flow AccessTokenClientCredential:

   <Flow name="AccessTokenClientCredential">
       <Description/>
       <Request>
           <Step>
               <Name>GenerateAccessTokenClient</Name>
           </Step>
       </Request>
       <Response/>
       <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
   </Flow>
   

   流程是 API Proxy 中的處理步驟。在這個示例中，流程會在 特定條件 (稱為「條件式流程」)條件 <Condition> 元素，表示如果發出 API Proxy 呼叫 /accesstoken 資源，且要求動詞為 POST，則 執行 GenerateAccessTokenClient 政策，藉此產生存取權 產生下一個符記

3. 接下來說明條件式流程會觸發的政策。按一下 流程圖中的 GenerateAccessTokenClient 政策圖示。
   
   以下 XML 設定會載入至程式碼檢視模式：

   <OAuthV2 name="GenerateAccessTokenClient">
       <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
       <Operation>GenerateAccessToken</Operation>
       <!-- This is in millseconds, so expire in an hour -->
       <ExpiresIn>3600000</ExpiresIn>
       <SupportedGrantTypes>
           <!-- This part is very important: most real OAuth 2.0 apps will want to use other
            grant types. In this case it is important to NOT include the "client_credentials"
            type because it allows a client to get access to a token with no user authentication -->
           <GrantType>client_credentials</GrantType>
       </SupportedGrantTypes>
       <GrantType>request.queryparam.grant_type</GrantType>
       <GenerateResponse/>
   </OAuthV2>
   

   設定包括下列項目：

   • <Operation>，可以是數個預先定義的值之一。 定義政策要執行的動作在這個情況下，系統會產生 產生下一個符記
   • 權杖的有效期限為 1 小時 (3600000 毫秒)。
   • 在 <SupportedGrantTypes> 中，OAuth 預計使用的 <GrantType>為 client_credentials (交換 OAuth 權杖的用戶端金鑰和密鑰)。
   • 第二個 <GrantType> 元素向政策說明位置 對授權類型參數的 API 呼叫，根據 OAuth 2.0 規格的需求。 (您稍後會在 API 呼叫中看見這項資訊)。授權類型也可透過 HTTP 標頭 (request.header.grant_type) 或表單參數 (request.formparam.grant_type)。

目前您無須對 API Proxy 採取任何其他行動。在後續步驟中 您將使用這個 API Proxy 產生 OAuth 存取權杖。你必須先完成數項工作 其他資訊：

• 建立您要使用 OAuth 確保保護的 API Proxy。
• 再建立幾個會產生用戶端金鑰和用戶端密鑰的構件 您必須交換存取權杖

建立受 OAuth 保護的 API Proxy

現在，您將建立要保護的 API Proxy。這是 API 呼叫 傳回需要的內容在這種情況下，API Proxy 會呼叫 Apigee 的 mocktarget 服務 傳回 IP 位址。不過，只有在您傳遞有效的 OAuth 存取權時，才能查看權限。 產生憑證

您在這裡建立的 API Proxy 會包含政策，用於檢查 請求。

1. 依序選取「開發」>「開發」API Proxy。
2. 按一下「+ Proxy」。
   
3. 在「Build a Proxy」(建構 Proxy) 精靈中，選取「Reverse Proxy (最常見)」。 然後點選「下一步」。
4. 使用以下內容設定 Proxy：
   

   在這個欄位	正確做法
   Proxy 名稱	輸入：helloworld_oauth2
   專案基礎路徑	變更為：/hellooauth2 專案基本路徑是網址的一部分，用於向 API 發出要求 Proxy 上。
   現有 API	輸入：https://mocktarget.apigee.net/ip 這會定義 Apigee Edge 在對 API 要求時叫用的目標網址 Proxy 上。
   說明	輸入：hello world protected by OAuth

5. 點選「下一步」。
6. 在「常見政策」頁面中執行下列操作：

   在這個欄位	正確做法
   安全性：授權	選取：OAuth 2.0

7. 點選「下一步」。
8. 在「Virtual Hosts」頁面中，按一下「Next」。
9. 在「Build」頁面中，確認已選取「test」環境。 按一下「Create and Deploy」(建立及部署)。
10. 「摘要」頁面會顯示新的 API Proxy 確認通知 已成功建立，而且 API Proxy 已部署至測試中 環境。
11. 按一下「編輯 Proxy」，顯示 API Proxy 的「總覽」頁面。
    請注意，系統現在會自動部署 API Proxy。按一下「Deployment」(部署) 圖示 確保「test」旁有綠色的 Deployment 圓點環境。