Sicurezza dell'ultimo miglio

Questa pagina si applica ad Apigee e Apigee hybrid.

Visualizza la documentazione di Apigee Edge.

La sicurezza dell'ultimo miglio protegge i servizi di backend sottoposti a proxy dai servizi API. L'obiettivo principale della sicurezza dell'ultimo miglio è prevenire i cosiddetti attacchi "end-run", in cui uno sviluppatore di app scopre l'URL di un servizio di backend e ignora eventuali proxy API per accedere direttamente all'URL di backend.

Di seguito sono riportate le opzioni principali per la configurazione della sicurezza dell'ultimo miglio:

• TLS/SSL client
• Autenticazione in uscita

TLS/SSL client

Il meccanismo principale per proteggere l'ultimo miglio è il protocollo TLS/SSL del client, noto anche come "autenticazione reciproca".

Vedi Opzioni per la configurazione di TLS.

Autenticazione in uscita

La sicurezza dell'ultimo miglio può essere applicata anche richiedendo al proxy API di presentare una credenziale al servizio di backend.

Ad esempio, puoi chiedere a un proxy API di presentare una chiave API al tuo servizio di backend. Puoi anche chiedere a un proxy API di ottenere e presentare un token di accesso alle credenziali client OAuth.

Chiave API

Le chiavi API possono essere applicate alle richieste in uscita dai proxy API ai servizi di backend. Questo presuppone che il servizio di backend sia un'API in grado di emettere e convalidare le chiavi API.

Se configuri un proxy API per presentare una chiave API alle richieste in uscita, devi archiviarla in un luogo in cui possa essere recuperata dal proxy API in fase di runtime. Una posizione disponibile per l'archiviazione delle chiavi API è una mappa chiave/valore. Consulta le norme sulle operazioni della mappa chiave-valore.

Puoi utilizzare il tipo di criterio AssegnaMessage per aggiungere la chiave API come intestazione HTTP, parametro di query o elemento payload alla richiesta in uscita. Vedi Assegnare i criteri per i messaggi.

Best practice:per evitare di esporre le chiavi API sulla rete, configura sempre TLS/SSL lato server sui tuoi servizi di backend per le transazioni in uscita che utilizzano chiavi API

Credenziali client OAuth

Le credenziali client OAuth possono essere utilizzate per aggiungere un livello di revocabilità alle chiavi API. Se i tuoi servizi di backend supportano le credenziali client OAuth, puoi configurare un proxy API in modo che presenti un token di accesso alle credenziali client per ogni richiesta.

Il proxy API deve essere configurato per eseguire un callout e ottenere il token di accesso dall'endpoint del token. Il proxy API deve inoltre memorizzare nella cache il token di accesso per impedire che ottenga un nuovo token di accesso per ogni chiamata.

Avviso:affinché questa operazione funzioni, i servizi di backend devono essere in grado di emettere e convalidare token di accesso utilizzando il tipo di autorizzazione delle credenziali del client.

Configura sempre TLS/SSL lato server sui servizi di backend per le transazioni che utilizzano token di accesso.

È possibile utilizzare diversi approcci per implementare le credenziali client in uscita.

Esempio: un esempio di OAuth in uscita funzionante che utilizza credenziali client viene implementato nell'esempio di OAuth in uscita su GitHub.

Puoi modificare questo esempio per chiamare l'endpoint del token per ottenere un token di accesso. Questo esempio utilizza JavaScript per collegare il token alla richiesta in uscita come intestazione di autorizzazione HTTP. A questo scopo, puoi anche utilizzare Assegna criterio ai messaggi.

SAML

Il tipo di criterio Genera SAMLAssertion può essere utilizzato per collegare un'asserzione SAML a un messaggio di richiesta XML in uscita dal proxy API a un servizio di backend. Ciò consente al servizio di backend di eseguire l'autenticazione e l'autorizzazione sulle richieste ricevute dai proxy API.

Vedi i criteri di asserzione SAML.