Skip to main content
A Public API használatához nincs szükség OAuth-ra. Privát, kiszolgálóoldali integráció esetén kezdje egy korlátozott hatókörű API-kulccsal, és kövesse a gyors útmutatót. Akkor válassza az OAuth kliens-hitelesítő adatokat, ha a biztonsági szabályzata rövid élettartamú hozzáférési tokeneket ír elő, vagy ha az integrációs platformja már támogatja ezt a folyamatot. Mindkét lehetőség szolgáltatásfiókot használ. A szolgáltatásfiók az integráció azonosítója, nem pedig egy harmadik hitelesítési módszer.

​
Hogyan illeszkednek egymáshoz az elemek

Integrációnként hozzon létre egy szolgáltatásfiókot. Ehhez a fiókhoz válasszon API-kulcsot vagy OAuth klienst; nincs szükség mindkét módszerre az egyes API-kéréseknél. Egyik hitelesítő adat sem haladhatja meg a fiók aktuális jogosultságait. A gyors útmutató Basic hitelesítést használ. API-kulcsok esetén a Bearer fejléc is támogatott; ennek használata nem jelenti azt, hogy OAuth kliensre van szükség.

​
Egyszerű integrációhoz válasszon API-kulcsot

Használjon API-kulcsot saját ütemezett feladataihoz, jelentéskészítő szkriptjeihez, adatfolyamataihoz vagy más háttérszolgáltatásaihoz, ha a titkoskulcs-kezelőben tárolt titok megfelel a biztonsági követelményeinek.
  • A hitelesített kéréseket közvetlenül küldheti; nincs szükség tokencserére.
  • Csak azokat a jogosultságokat válassza ki, amelyekre a munkafolyamatnak szüksége van, és állítson be lejárati időt.
  • Rotálja a kulcsot az átfedési időszak használatával, vagy azonnal vonja vissza, ha kiszivárgott.
Az API-kulcsot használó integrációhoz nincs szükség OAuth kliensre. Kezdje a gyors útmutatóval, majd a létrehozásról és a rotálásról olvasson az API-kulcsok oldalon.

​
Rövid élettartamú hozzáférési tokenekhez válassza az OAuth-ot

Használjon OAuth kliens-hitelesítő adatokat bizalmas háttérszolgáltatáshoz, ha a szervezete lejáró hozzáférési tokeneket követel meg, vagy ha az integrációs eszköz a client_credentials grant típust várja.
  1. Hozzon létre egy korlátozott hatókörű OAuth klienst a szolgáltatásfiókhoz.
  2. Hitelesítse a klienst a régiójának megfelelő tokenvégponton a beállítás során megadott klienshitelesítési módszerrel.
  3. Küldje el a kapott hozzáférési tokent az API-kérésekkel együtt. Az aktuális token lejárta előtt kérjen újat.
Az OAuth a tokenek beszerzésével és lejáratuk kezelésével bővíti az integrációt. A kliens titkos értékét továbbra is biztonságosan kell tárolni és rotálni; a rövid élettartamú tokenek ezt a felelősséget nem szüntetik meg. A kliens-hitelesítő adatok folyamata nem használ frissítési tokeneket: új hozzáférési token beszerzéséhez hitelesítse újra a klienst. Az OAuth-hozzáférést a szervezete számára engedélyezni kell. Ha nincs engedélyezve, használjon API-kulcsot, vagy forduljon a Living Security ügyfélszolgálatához az igényeivel kapcsolatban. A kliens létrehozásáról, az egyszer megjelenített titkos értékekről, a visszavonásról és a helyreállításról az OAuth kliens-hitelesítő adatok oldalon olvashat.

​
A hitelesítő adatokat tartsa a háttérrendszerén

A szolgáltatásfiókhoz tartozó API-kulcsok és az OAuth kliensek titkos értékei a kiszolgálóoldali titoktárolóba valók. Ne helyezze el őket böngészőkódban, mobilalkalmazásokban, verziókezelőben vagy naplókban. A szolgáltatásfiók hitelesítő adata a munkafolyamat nevében jár el; nem léptet be személyt, és nem biztosít ügyfél-hozzájárulási folyamatot. Mindkét módszerhez használja a szervezetének megfelelő regionális API-gazdagépet. A hitelesítési módszer megváltoztatása nem módosítja az erőforrás URL-jét, az API verzióját, sem az egyes műveletekhez szükséges jogosultságokat.