Questa pagina è stata tradotta dall'API Cloud Translation.

Proteggere un'API con OAuth 2.0

Questa pagina si applica a Apigee e Apigee ibridi.

Visualizza documentazione di Apigee Edge.

Questo tutorial mostra come proteggere un proxy API utilizzando un token di accesso OAuth 2.0.

Prima di iniziare

Per completare questo tutorial, devi avere accesso a un'organizzazione Apigee in cui disporre dell'autorizzazione per:

Crea ed esegui il deployment dei proxy API
Creare prodotti API
Creare app per sviluppatori

Devi inoltre disporre di un nome host del gruppo di ambienti configurato correttamente con cui poter effettuare chiamate proxy API Apigee. In caso di dubbi quale nome host del gruppo di ambienti utilizzare, consulta l'amministratore Apigee.

Esegui il deployment del proxy OAuth 2.0

Su GitHub forniamo un proxy API, configurato per generare token di accesso OAuth 2.0. Segui questi passaggi per scarica ed esegui il deployment di questo proxy API nel tuo ambiente:

Scarica il oauth proxy API di esempio in una directory del tuo file di un sistema operativo completo.
Vai all'UI di Apigee e accedi, quindi seleziona la tua organizzazione Apigee.
Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
Nota: prima di continuare, controlla o esegui una ricerca nell'elenco di API proxy. Se ne hai già una chiamata oauth, selezionala e passa al per assicurarti che sia configurata come descritto. Se il tuo è diverso, eliminalo e continua questi passaggi oppure modificalo in modo che corrisponda configurazione descritta.
Fai clic su Crea nuovo.
Nella procedura guidata di creazione del proxy, seleziona Carica bundle proxy.
Scegli il file oauth.zip che hai scaricato e fai clic su Avanti.
Fai clic su Crea.
Al termine della build, fai clic su Modifica proxy per visualizzare il nuovo proxy. nell'editor proxy API.
Fai clic su Esegui il deployment.
Seleziona la revisione e l'ambiente in cui eseguire il deployment. Puoi uscire dalla Il campo Account di servizio è vuoto.
Fai clic su Esegui il deployment.

Hai scaricato ed eseguito il deployment di un'API per la generazione di token di accesso proxy alla tua organizzazione Apigee.

Visualizza il flusso e il criterio OAuth 2.0

Esamina la configurazione dei criteri OAuth 2.0.

Nuovo editor proxy

A questo punto, osserverai più da vicino i contenuti del proxy API.

Nell'editor del proxy API, fai clic sulla scheda Sviluppo.

Nella parte sinistra vedrai due criteri. Vedrai anche due flussi POST negli endpoint proxy .
Fai clic su AccessTokenClientCredential in Proxy Endpoints. L'editor di testo visualizza il codice XML per i Flusso condizionale AccessTokenClientCredential:
```
<Flow name="AccessTokenClientCredential">
    <Description/>
    <Request>
        <Step>
            <Name>GenerateAccessTokenClient</Name>
        </Step>
    </Request>
    <Response/>
    <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
</Flow>
```
Un flusso è una fase di elaborazione in un proxy API. In questo caso, il flusso viene attivato una determinata condizione è soddisfatta (chiamato "flusso condizionale"). La condizione, definita in l'elemento <Condition>, indica che se la chiamata proxy API viene effettuata la risorsa /accesstoken e il verbo di richiesta è POST, quindi eseguire il criterio GenerateAccessTokenClient, che genera l'accesso di accesso.
Ora diamo un'occhiata al criterio che verrà attivato dal flusso condizionale. Fai clic sull' Criterio GenerateAccessTokenClient nel riquadro Request (Richiesta):

Editor proxy classico

A questo punto, osserverai più da vicino i contenuti del proxy API.

Nell'editor del proxy API, fai clic sulla scheda Sviluppo. Nel riquadro di navigazione a sinistra vedrai due criteri. Vedrai anche due flussi POST negli endpoint proxy .
Fai clic su AccessTokenClientCredential in Endpoint Proxy.

Nella visualizzazione Codice XML, vedrai un Flow chiamato AccessTokenClientCredential:
```
<Flow name="AccessTokenClientCredential">
    <Description/>
    <Request>
        <Step>
            <Name>GenerateAccessTokenClient</Name>
        </Step>
    </Request>
    <Response/>
    <Condition>(proxy.pathsuffix MatchesPath "/accesstoken") and (request.verb = "POST")</Condition>
</Flow>
```
Un flusso è una fase di elaborazione in un proxy API. In questo caso, il flusso viene attivato se una determinata condizione è soddisfatta. La condizione, definita in l'elemento <Condition>, è che se la chiamata proxy API viene effettuata la risorsa /accesstoken e il verbo di richiesta è POST, quindi eseguire il criterio GenerateAccessTokenClient, che genera l'accesso di accesso.
Ora diamo un'occhiata al criterio che verrà attivato dal flusso condizionale. Fai clic sull' Icona del criterio GenerateAccessTokenClient nel diagramma di flusso.

Viene visualizzata la seguente configurazione XML:

<OAuthV2 name="GenerateAccessTokenClient">
    <!-- This policy generates an OAuth 2.0 access token using the client_credentials grant type -->
    <Operation>GenerateAccessToken</Operation>
    <!-- This is in milliseconds, so expire in an hour -->
    <ExpiresIn>3600000</ExpiresIn>
    <SupportedGrantTypes>
        <!-- This part is very important: most real OAuth 2.0 apps will want to use other
         grant types. In this case it is important to NOT include the "client_credentials"
         type because it allows a client to get access to a token with no user authentication -->
        <GrantType>client_credentials</GrantType>
    </SupportedGrantTypes>
    <GrantType>request.queryparam.grant_type</GrantType>
    <GenerateResponse/>
</OAuthV2>

La configurazione include:

<Operation>, che può essere uno dei vari valori predefiniti, cosa farà il criterio. In questo caso, genererà un accesso di accesso.
Il token scadrà 1 ora (3600000 millisecondi) dopo essere stato generato.
In <SupportedGrantTypes>, il protocollo OAuth 2.0 Il valore di <GrantType> dovrebbe essere utilizzato (client_credentials) (scambio di una chiave utente e di un segreto con un token OAuth 2.0).
Il secondo elemento <GrantType> indica al criterio dove cercare la chiamata API per il parametro del tipo di autorizzazione, come richiesto dalla specifica OAuth 2.0. (questo sarà visualizzato più avanti nella chiamata API). Il tipo di concessione può essere inviato anche nella richiesta intestazione (request.header.grant_type) o come parametro del modulo (request.formparam.grant_type).

Al momento non devi fare altro con il proxy API. Nei passaggi successivi, utilizzerai questo proxy API per generare un token di accesso OAuth 2.0. Ma prima devi eseguire alcune altre cose:

Crea il proxy API che vuoi effettivamente proteggere con OAuth 2.0.
Crea alcuni altri artefatti che produrranno la chiave utente e il segreto utente devi scambiare un token di accesso.

Crea un proxy API protetto

Ora creerai il proxy API da proteggere. Questa è la chiamata API restituisce un elemento. In questo caso, il proxy API chiamerà il servizio mocktarget di Apigee per restituire il tuo indirizzo IP. MA, potrai vederlo solo se passi un accesso OAuth 2.0 valido. con la tua chiamata API.

Il proxy API che crei qui includerà un criterio che verifica la presenza di un token OAuth 2.0 nel richiesta.

Seleziona Sviluppo > Proxy API nella barra di navigazione a sinistra.
Fai clic su Crea nuovo.
Nella procedura guidata Crea un proxy, seleziona Inverti proxy (più comune).

Configura il proxy con quanto segue:

In questo campo	fai questo
Nome proxy	Inserisci: `helloworld_oauth2`
Percorso di base del progetto	Cambia in: `/hellooauth2` Il percorso di base del progetto fa parte dell'URL utilizzato per effettuare richieste all'API proxy.
API esistente	Inserisci: `https://mocktarget.apigee.net/ip` Definisce l'URL di destinazione che Apigee richiama su una richiesta all'API proxy.
Descrizione	Inserisci: `hello world protected by OAuth 2.0`

Fai clic su Avanti.

Nella pagina Norme comuni:

In questo campo	fai questo
Sicurezza: autorizzazione	Seleziona: OAuth 2.0 Queste opzioni sono molto utili. per aggiungere automaticamente due criteri al tuo proxy API e creare un prodotto API.

In questo campo

fai questo

Sicurezza: autorizzazione

Seleziona:

OAuth 2.0

Queste opzioni sono molto utili. per aggiungere automaticamente due criteri al tuo proxy API e creare un prodotto API.

Fai clic su Avanti.
Nella pagina Riepilogo, in Deployment facoltativo, seleziona un ambiente e fai clic su Crea ed esegui il deployment.
Fai clic su Modifica proxy per visualizzare Pagina Panoramica del proxy API.
Il deployment del proxy API viene eseguito automaticamente. (Potrebbero essere necessari alcuni minuti il deployment.)

Visualizza i criteri

Diamo un'occhiata più da vicino a ciò che hai creato.

Nuovo editor proxy

Nell'editor del proxy API, fai clic sulla scheda Sviluppo. Puoi vedere che due criteri sono stati aggiunti al flusso di richiesta del proxy API:
- Verify OAuth v2.0 Access Token (Verifica token di accesso OAuth v2.0): controlla la chiamata API da effettuare che sia presente un token OAuth 2.0 valido.
- Rimuovi autorizzazione intestazione: un criterio Assegna messaggio che rimuove il token di accesso dopo averlo controllato, in modo che non venga passato al servizio di destinazione. Se il servizio di destinazione necessitasse del token di accesso OAuth 2.0, non dovresti utilizzare queste norme).
Fai clic sull'icona Verify OAuth v2.0 Access Token (Verifica token di accesso OAuth v2.0) nella riquadro a destra e e consulta il codice XML sottostante nell'editor di testo.

Editor proxy classico

Nell'editor del proxy API, fai clic sulla scheda Sviluppo. Puoi vedere che due criteri sono stati aggiunti al flusso di richiesta del proxy API:
- Verify OAuth v2.0 Access Token (Verifica token di accesso OAuth v2.0): controlla la chiamata API da effettuare che sia presente un token OAuth 2.0 valido.
- Rimuovi autorizzazione intestazione: un criterio Assegna messaggio che rimuove il token di accesso dopo averlo controllato, in modo che non venga passato al servizio di destinazione. Se il servizio di destinazione necessitasse del token di accesso OAuth 2.0, non dovresti utilizzare queste norme).
Fai clic sull'icona Verify OAuth v2.0 Access Token (Verifica token di accesso OAuth v2.0) nella visualizzazione del flusso e guarda il codice XML sottostante nel riquadro del codice.

<OAuthV2 async="false" continueOnError="false" enabled="true" name="verify-oauth-v2-access-token">
    <DisplayName>Verify OAuth v2.0 Access Token</DisplayName>
    <Operation>VerifyAccessToken</Operation>
</OAuthV2>

Nota che <Operation> è VerifyAccessToken. La L'operazione definisce cosa deve fare il criterio. In questo caso, verrà eseguita la verifica per un token OAuth 2.0 valido nella richiesta.

Aggiungi un prodotto API

Per ottenere un token di accesso OAuth 2.0, devi creare tre entità Apigee: un prodotto API, uno sviluppatore e un'app per sviluppatori. Innanzitutto, crea il prodotto API:

Seleziona Pubblica > Prodotti basati su API.
Fai clic su +Crea.

Inserisci i dettagli del prodotto API.

Campo	Descrizione
Nome	Nome interno del prodotto API. Non specificare caratteri speciali nel nome. Nota: non puoi modificare il nome dopo aver creato il prodotto API.
Nome visualizzato	Nome visualizzato del prodotto API. Il nome visualizzato viene utilizzato nell'interfaccia utente e puoi modificarlo in qualsiasi momento. Se non specificato, verrà utilizzato il valore Name (Nome). Questo campo viene compilato automaticamente utilizzando il valore Nome. puoi modificarne o eliminarne i contenuti. Il nome visualizzato può includere caratteri speciali.
Descrizione	Descrizione del prodotto API.
Ambiente	Ambienti a cui il prodotto API consentirà l'accesso. Seleziona l'ambiente in cui hai eseguito il deployment del proxy API.
Accesso	Seleziona Public (Pubbliche).
Approva automaticamente le richieste di accesso	Attiva l'approvazione automatica delle richieste di chiavi per questo prodotto API da qualsiasi app.
Quota	Ignora per questo tutorial.
Ambiti OAuth 2.0 consentiti	Ignora per questo tutorial.

Nella sezione Operazioni, fai clic su Aggiungi un'operazione.
Nel campo Proxy API, seleziona il proxy API appena creato.
Nel campo Percorso, inserisci "/". Ignora gli altri campi.
Fai clic su Salva per salvare l'operazione.
Fai clic su Salva per salvare il prodotto API.

Aggiungi uno sviluppatore e un'app al tuo organizzazione

Successivamente, simulerai il flusso di lavoro di uno sviluppatore che si registra per utilizzare le tue API. Idealmente, gli sviluppatori dovrebbero registrare se stessi e le loro app tramite il tuo portale per gli sviluppatori. In questo passaggio, tuttavia, dovrai aggiungere uno sviluppatore e un'app come amministratore.

Uno sviluppatore avrà una o più app che chiamano le tue API e a ogni app viene assegnato un chiave e segreto utente. Questa chiave/segreto per app fornisce inoltre al provider API un controllo più granulare sull'accesso alle tue API e report di analisi più granulari sull'API poiché Apigee sa a quali sviluppatori e app appartengono un determinato token OAuth 2.0.

Crea uno sviluppatore

Creiamo uno sviluppatore di nome Nigel Tufnel.

Seleziona Pubblica > Sviluppatori nel menu.
Fai clic su + Sviluppatore.

Inserisci quanto segue nella finestra Nuovo sviluppatore:

In questo campo	Invio
Nome	`Nigel`
Cognome	`Tufnel`
Nome utente	`nigel`
Email	`nigel@example.com`

Fai clic su Salva.

Registra un'app

Creiamo un'app per Nigel.

Seleziona Pubblica > App.
Fai clic su + App.

Inserisci quanto segue nella finestra Nuova app:

In questo campo	fai questo
Nome e Nome visualizzato	Inserisci: `nigel_app`
Developer	Fai clic su Sviluppatore e seleziona: `Nigel Tufnel (nigel@example.com)`
Callback URL (URL di callback) e Notes	Lascia vuoto

In Prodotti, fai clic su Aggiungi prodotto.
Aggiungi il prodotto API appena creato.
Fai clic su Crea.

Scarica consumer key e consumer secret

Ora riceverai la chiave utente e il segreto utente che verranno scambiati con OAuth 2.0 token di accesso.

Assicurati che venga visualizzata la pagina nigel_app. In caso contrario, nella pagina delle app (Pubblica > App), fai clic su nigel_app.
Nella pagina nigel_app, fai clic su Mostra nella sezione Chiave. e Secret. Nota che la chiave/segreta sono associata al prodotto API che hai creato in precedenza.
Seleziona e copia la chiave e il secret. Incollali in modo temporaneo di testo. Le utilizzerai in un passaggio successivo, durante la quale chiami il proxy API che scambia queste credenziali con un token di accesso OAuth 2.0.

Prova a chiamare l'API per ottenere il tuo indirizzo IP (errore!)

Prova a chiamare il proxy API protetto che hai appena creato. Nota che stai Non trasmettere un token di accesso OAuth 2.0 nella chiamata.

dove YOUR ENV_GROUP_HOSTNAME è il nome host del gruppo di ambienti. Consulta Trova il nome host del gruppo di ambienti.

Poiché il proxy API ha il criterio Verify OAuth v2.0 Access Token (Verifica token di accesso OAuth v2.0) verificando la presenza di un token OAuth 2.0 valido nella richiesta, la chiamata dovrebbe avere esito negativo con il seguente messaggio:

{"fault":{"faultstring":"Invalid access token","detail":{"errorcode":"oauth.v2.InvalidAccessToken"}}}

In questo caso, l'errore è positivo. Significa che il tuo proxy API è molto più sicuro. Solo attendibile le app con un token di accesso OAuth 2.0 valido possono chiamare questa API.

Ottenere un token di accesso OAuth 2.0

Quindi, utilizzerai la chiave e il segreto copiati e incollati in un file di testo per scambiarli con un token di accesso OAuth 2.0. Ora sei effettuerai una chiamata API al proxy API campione che hai importato, oauth, genererà un token di accesso all'API.

Utilizzando la chiave e il secret, effettua la seguente chiamata cURL (tieni presente che il protocollo https):

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" \
"https://YOUR ENV_GROUP_HOSTNAME/oauth/client_credential/accesstoken?grant_type=client_credentials" \
-d "client_id=CLIENT_KEY&client_secret=CLIENT_SECRET"

Tieni presente che se utilizzi un client come Postman per effettuare la chiamata, client_id e client_secret si trovano nel corpo dell' e deve essere x-www-form-urlencoded.

Dovresti ricevere una risposta simile alla seguente:

{
  "issued_at" : "1466025769306",
  "application_name" : "716bbe61-f14a-4d85-9b56-a62ff8e0d347",
  "scope" : "",
  "status" : "approved",
  "api_product_list" : "[helloworld_oauth2-Product]",
  "expires_in" : "3599", //--in seconds
  "developer.email" : "nigel@example.com",
  "token_type" : "BearerToken",
  "client_id" : "xNnREu1DNGfiwzQZ5HUN8IAUwZSW1GZW",
  "access_token" : "GTPY9VUHCqKVMRB0cHxnmAp0RXc0",
  "organization_name" : "myOrg",
  "refresh_token_expires_in" : "0", //--in seconds
  "refresh_count" : "0"
}

Hai ricevuto il tuo token di accesso OAuth 2.0. Copia il valore access_token (senza le virgolette) e incollalo nel tuo file di testo. Potrai usarlo a breve.

Cosa è successo?

Ricordi in precedenza quando guardavi il "flusso condizionale" nel oauth, quello che indica se l'URI della risorsa è /accesstoken e il verbo di richiesta è POST, per eseguire il GenerateAccessTokenClient criterio OAuth 2.0 che genera un token di accesso? Il tuo cURL soddisfaceva queste condizioni, pertanto è stato eseguito il criterio OAuth 2.0. Ha verificato la tua chiave utente e segreto utente e li ha scambiati con un token OAuth 2.0 che scade dopo un'ora.

Chiamata all'API con un token di accesso (operazione riuscita)

Ora che disponi di un token di accesso, puoi utilizzarlo per chiamare il proxy API. Fai in modo che dopo la chiamata cURL. Sostituisci il nome della tua organizzazione Apigee e il token di accesso.

curl https://YOUR ENV_GROUP_HOSTNAME/hellooauth2 -H "Authorization: Bearer TOKEN"

Ora dovresti ricevere una chiamata al proxy API che restituisce il tuo indirizzo IP. Per esempio:

{"ip":"::ffff:192.168.14.136"}

Puoi ripetere la chiamata API per quasi un'ora, dopodiché il token di accesso scadono. Per effettuare la chiamata dopo un'ora, devi generare un nuovo token di accesso utilizzando passaggi precedenti.

Complimenti! Hai creato un proxy API e lo hai protetto richiedendo l'invio di una richiesta Il token di accesso OAuth 2.0 deve essere incluso nella chiamata.

Argomenti correlati

Home page di OAuth 2.0
Criterio OAuthV2
Scarica proxy API (che mostra come raggruppare un proxy API in un file ZIP come quello scaricato)