Skip to main content
Quý vị không cần OAuth để sử dụng Public API. Đối với tích hợp riêng tư ở phía máy chủ, hãy bắt đầu bằng một Khóa API có phạm vi giới hạn và làm theo hướng dẫn bắt đầu nhanh. Hãy chọn thông tin xác thực máy khách OAuth (client credentials) khi chính sách bảo mật của Quý vị yêu cầu mã truy cập có thời hạn ngắn hoặc khi nền tảng tích hợp của Quý vị đã hỗ trợ luồng đó. Cả hai lựa chọn đều sử dụng một tài khoản dịch vụ. Tài khoản dịch vụ là danh tính của tích hợp, không phải một phương thức xác thực thứ ba.

​
Các thành phần phối hợp với nhau như thế nào

Hãy tạo một tài khoản dịch vụ cho mỗi tích hợp. Chọn Khóa API hoặc máy khách OAuth cho tài khoản đó; Quý vị không cần dùng cả hai phương thức trên mỗi yêu cầu API. Không thông tin xác thực nào có thể vượt quá quyền hiện tại của tài khoản. Hướng dẫn bắt đầu nhanh sử dụng xác thực Basic. Tiêu đề Bearer cũng được hỗ trợ cho Khóa API; việc sử dụng tiêu đề này không có nghĩa là Quý vị cần một máy khách OAuth.

​
Chọn Khóa API cho tích hợp đơn giản

Hãy sử dụng Khóa API cho các tác vụ theo lịch, tập lệnh báo cáo, quy trình dữ liệu hoặc các dịch vụ backend khác của riêng Quý vị, khi việc lưu mã bí mật trong trình quản lý bí mật phù hợp với yêu cầu bảo mật của Quý vị.
  • Gửi trực tiếp các yêu cầu đã xác thực; không cần trao đổi token.
  • Chỉ chọn những quyền mà khối lượng công việc cần và đặt thời điểm hết hạn.
  • Luân chuyển khóa bằng cách sử dụng khoảng thời gian chồng lấp của khóa, hoặc thu hồi ngay lập tức nếu khóa bị lộ.
Tích hợp dùng Khóa API không cần máy khách OAuth. Hãy bắt đầu với hướng dẫn bắt đầu nhanh, sau đó xem Khóa API để biết cách tạo và luân chuyển khóa.

​
Chọn OAuth cho mã truy cập có thời hạn ngắn

Hãy sử dụng thông tin xác thực máy khách OAuth (client credentials) cho một dịch vụ backend bảo mật khi tổ chức của Quý vị yêu cầu mã truy cập có thời hạn hoặc khi một công cụ tích hợp yêu cầu loại cấp quyền client_credentials.
  1. Tạo một máy khách OAuth có phạm vi giới hạn cho tài khoản dịch vụ.
  2. Xác thực máy khách với điểm cuối token theo khu vực của Quý vị bằng phương thức xác thực máy khách được cung cấp trong quá trình thiết lập.
  3. Gửi mã truy cập thu được cùng với các yêu cầu API của Quý vị. Hãy lấy token mới trước khi token hiện tại hết hạn.
OAuth bổ sung việc lấy token và xử lý thời hạn token vào tích hợp của Quý vị. Mã bí mật của máy khách vẫn cần được lưu trữ và luân chuyển an toàn; token có thời hạn ngắn không loại bỏ trách nhiệm đó. Client credentials không sử dụng refresh token: hãy xác thực lại máy khách để nhận mã truy cập mới. Quyền truy cập OAuth phải được bật cho tổ chức của Quý vị. Nếu chưa được bật, hãy sử dụng Khóa API hoặc liên hệ Bộ phận Hỗ trợ của Living Security về yêu cầu của Quý vị. Xem thông tin xác thực máy khách OAuth để biết cách tạo máy khách, mã bí mật chỉ hiển thị một lần, thu hồi và khôi phục.

​
Giữ thông tin xác thực trên backend của Quý vị

Khóa API của tài khoản dịch vụ và mã bí mật của máy khách OAuth cần được lưu trong kho lưu trữ bí mật phía máy chủ. Không đặt chúng trong mã trình duyệt, ứng dụng di động, hệ thống quản lý mã nguồn hoặc nhật ký. Thông tin xác thực của tài khoản dịch vụ hoạt động với tư cách khối lượng công việc; nó không đăng nhập một cá nhân và không cung cấp luồng chấp thuận của khách hàng. Hãy sử dụng máy chủ API theo khu vực dành cho tổ chức của Quý vị với cả hai phương thức. Việc thay đổi phương thức xác thực không làm thay đổi URL tài nguyên, phiên bản API hay các quyền mà một thao tác yêu cầu.