Skip to main content
Használja az OAuth-ügyfél-hitelesítő adatokat, ha a háttérrendszeri integrációjának rövid élettartamú hozzáférési tokenekre van szüksége, vagy ha a biztonsági szabályzata ezt előírja. Minden kliens egy szolgáltatásfiókhoz és egy szervezethez tartozik. Az OAuth használata nem kötelező: egy szűkített hatókörű API-kulcs elegendő olyan privát szerveroldali integrációhoz, amely biztonságosan tudja tárolni és rotálni a kulcsot. A két módszer közötti választáshoz, valamint a szolgáltatásfiókok szerepének megértéséhez lásd a Hitelesítés című részt.
Az OAuth-hozzáférést engedélyezni kell a szervezete számára. A beállítás során Ön megkapja a regionális token végpontot, a kibocsátót (issuer), a célközönséget (audience) és a kliens-hitelesítési módszert. Ha szüksége van ezekre a beállításokra, vagy nem fér hozzá a kliensek kezeléséhez, forduljon a Living Security ügyfélszolgálatához.
Az ügyfél-hitelesítő adatokra épülő engedélyezési típus (client credentials grant) az Ön szolgáltatásfiókját képviseli. Nem léptet be személyt, és nem kér engedélyt ügyféltől egy alkalmazás számára. A böngészőn keresztüli delegált engedélyezés külön OAuth-képesség, és ezek a műveletek nem kínálják.

Előkészületek

  • Hozzon létre egy szolgáltatásfiókot, amely csak az integrációhoz szükséges jogosultságokkal rendelkezik.
  • Használjon olyan felügyeleti hitelesítő adatot, amely rendelkezik ezzel: service_account:manage, valamint minden olyan jogosultsággal, amelyet az új kliensnek meg kíván adni. A célfióknak szintén rendelkeznie kell ezekkel a jogosultságokkal. A kliens nem bővítheti egyik fiók jogosultságát sem.
  • Válassza ki a szervezet régióját. Az API hitelesítő adatokat és az OAuth hozzáférési tokeneket a megfelelő regionális API-hoszton kell használni.
  • A kliens titkos kulcsát és a tokeneket a szerveroldali titoktárolóban őrizze. Soha ne helyezze őket böngészőkódba, mobilalkalmazásokba, verziókezelőbe vagy kérésnaplókba.

Kliens létrehozása

POST /v1/oauth_clients megköveteli ezt: service_account_id, továbbá explicit scopes nem üres listáját és egy Idempotency-Key értéket. Helyettesítő karakterek nem fogadhatók el. Egy kliens legfeljebb 100 hatókört támogat, legfeljebb 4096 karakter együttes hosszúságban. Egy szolgáltatásfiókhoz legfeljebb 20 kliens vagy nem lezárt létrehozási/takarítási művelet tartozhat. A visszavonás azonnal megtagadja az API-hozzáférést. A kliens vagy a szolgáltatónál végrehajtott bizonytalan létrehozás mindaddig beleszámít a korlátba, amíg a távoli takarítás meg nem erősödik. Egy elhagyott foglalás, illetve egy olyan létrehozás, amelyről bizonyítható, hogy a szolgáltatói munka megkezdése előtt meghiúsult, biztonságosan felszabadíthatja a helyét. Az újrapróbálkozási kulcs ettől még az eredeti kísérlethez tartozik; a csere létrehozásáról való döntés előtt állítsa helyre az adott visszaigazolást. Válasszon egy újrapróbálkozási kulcsot ehhez a létrehozási kísérlethez, és a kérés elküldése előtt tárolja tartósan. Használjon 1–255 látható ASCII-karaktert, szóközök nélkül. Egy elveszett válasz után használja újra ugyanazzal a fiókkal, hatókörökkel, felügyeleti principallal, régióval és API-verzióval. A felügyeleti hitelesítő adat cseréje ugyanazon szolgáltatásfiók alatt nem hoz létre új újrapróbálkozási azonosítót. Telepítse a Python requests csomagját. Töltse be a következő környezeti értékeket a szokásos titok- és konfigurációkezelő rendszerén keresztül:
Python
A példa egyetlen kérést küld, és az eredményt a memóriában tartja. Éles használat előtt a megjelölt helyen adja hozzá a titokkezelője írási műveletét. A példa szándékosan döntést követel bizonytalan eredmény esetén ahelyett, hogy csendben újabb klienst hozna létre. A hálózati kivételek esetén is az alábbi helyreállítási lépések szükségesek. A létrehozási és visszaigazolási válaszok 201 formátumot használnak, és tartalmaznak egy oauth_client erőforrást a következőkkel: id, service_account_id, client_id, scopes, status, created_at és client_secret. A válaszok megjelölése: Cache-Control: no-store.
  • id azonosítja a platformerőforrást. Mentse el a lekérdezéshez és a visszavonáshoz.
  • client_id azonosítja a klienst a token-kicserélés során. Nem azonos a platformerőforrás azonosítójával. Értéke null lehet, amíg a létrehozás függőben van.
  • client_secret csak a létrehozást befejező kérésre érkezik vissza. Minden ismételt létrehozási kérés null értéket ad vissza, beleértve az elveszett sikeres válasz utáni újrapróbálkozást is. A lekérdezés soha nem ad vissza titkos kulcsot.

Elveszett vagy megszakadt válasz utáni helyreállítás

Az erőforrás-visszaigazolás helyreállításához ismételje meg ugyanazt a létrehozási kérést a mentett újrapróbálkozási kulccsal. A visszaigazolás az aktuális állapotot tükrözi, ezért a visszavont kliens visszavont marad. Ez a művelet nem használja az általános, 24 órás gyorsítótárazott válasz-visszajátszási szabályt, és nem ad vissza Idempotent-Replayed fejlécet. A kérésazonosítókkal és a helyreállítási részletekkel kapcsolatban lásd a hibákat. Soha ne küldjön kliens titkos kulcsot vagy hozzáférési tokent támogatási kéréssel együtt.

Lekérdezés és visszavonás

Használja a felügyeleti hitelesítő adatát és a platformerőforrás id azonosítóját: A visszavonás letiltja a kliens további API-kéréseit, beleértve a már kiállított tokenekkel küldött kéréseket is. Nem szakítja meg az API által már elfogadott munkát. A távoli hitelesítőadat-takarítás később is befejeződhet. A visszavonás ismétlése biztonságos, és nem igényel újrapróbálkozási kulcsot. Ha a visszavonandó kliens maga is API-hívó, továbbra is a felügyeleti hitelesítő adatot használja.

Rotálás a hozzáférés elvesztése nélkül

Hozzon létre egy második klienst a szükséges hatókör-felső korláttal. Mentse el a titkos kulcsát, szerezzen tokent a regionális token végponton keresztül, és ellenőrizze, hogy az integráció működik vele. Állítsa át az integrációt a cserekliensre, majd vonja vissza a régi erőforrást. Tartson fenn egy független felügyeleti hitelesítő adatot, hogy helyreállhasson egy hibás átállásból. A hozzáférési tokenek nem adhatnak többet, mint a kliens hatókörei és a szolgáltatásfiók aktuális jogosultságai. A fiókjogosultságok eltávolítása vagy a kliens visszavonása elsőbbséget élvez a token hátralévő élettartamával szemben. Ne tekintse a gyorsítótárazott tokent annak bizonyítékának, hogy az engedélyezés még érvényes. Lejárat előtt szerezzen új hozzáférési tokent a kliens ismételt hitelesítésével; ez az engedélyezési típus nem használ frissítési tokeneket.