Validar tokens de acesso

Esta página aplica-se ao Apigee e ao Apigee Hybrid.

Veja a documentação do Apigee Edge.

Quando chama um proxy de API no Apigee que tem segurança OAuth, o Apigee é responsável por validar os tokens de acesso. Pense no Apigee como o porteiro: nenhuma chamada API pode passar se não tiver um token de acesso que possa ser validado.

Adicionar uma política VerifyAccessToken

Para configurar a validação de tokens, coloque uma política OAuthV2 com a operação VerifyAccessToken no início do fluxo do proxy de API (o início do Preflow do ProxyEndpoint). Se forem colocados aí, os tokens de acesso são validados antes de qualquer outro processamento e, se um token for rejeitado, o Apigee para o processamento e devolve um erro ao cliente.

Para aceder à página Proxies de API através da IU do Apigee:

  1. Abra a IU do Apigee.
  2. Selecione Desenvolver > Proxies de API na barra de navegação do lado esquerdo.
  3. Na lista, selecione o proxy que quer proteger.
  4. Na página de vista geral, clique no separador Desenvolver.
  5. No navegador, selecione PreFlow para um ponto final listado em Proxy Endpoints. Normalmente, o ponto final pretendido chama-se "default", embora seja possível criar vários pontos finais de proxy. Se tiver vários pontos finais, é provável que queira seguir estes passos para fazer a validação de tokens em cada um deles.

    Selecione PreFlow para um ponto final listado em Proxy Endpoints.
  6. No editor de fluxo de proxy, clique em + Passo.

    Clique em + Etapa.
  7. Selecione Policy Instance New.
  8. Na lista de políticas, selecione OAuth v2.0.
  9. Opcionalmente, altere o nome da política e o nome a apresentar. Por exemplo, para uma melhor legibilidade, pode alterar o nome a apresentar e o nome para "VerifyAccessToken".
  10. Clique em Adicionar.

A política predefinida já está configurada com a operação VerifyAccessToken, pelo que não tem de fazer mais nada:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<OAuthV2 async="false" continueOnError="false" enabled="true" name="OAuth-v20-1">
    <DisplayName>OAuth v2.0 1</DisplayName>
    <FaultRules/>
    <Properties/>
    <Attributes/>
    <ExternalAuthorization>false</ExternalAuthorization>
    <Operation>VerifyAccessToken</Operation>
    <SupportedGrantTypes/>
    <GenerateResponse enabled="true"/>
    <Tokens/>
</OAuthV2>