身份验证

使用公共 API 无需 OAuth。 对于私有的服务器端集成，请先使用限定范围的 API 密钥，并按照快速入门操作。如果您的安全策略要求使用短期有效的访问令牌，或者您的集成平台已支持该流程，请选择 OAuth 客户端凭据。 两种方式都使用服务账户。服务账户是集成的身份标识，并不是第三种身份验证方法。

​

各组成部分如何协同工作

请为每个集成创建一个服务账户。为该账户选择 API 密钥或 OAuth 客户端即可；每个 API 请求无需同时使用两种方式。两种凭据均不能超出该账户当前的权限。 快速入门使用 Basic 身份验证。API 密钥同样支持 Bearer 标头；使用该标头并不意味着您需要 OAuth 客户端。

​

简单集成请选择 API 密钥

如果将密钥存放在您的密钥管理器中可以满足安全要求，则可将 API 密钥用于您自己的计划任务、报表脚本、数据管道或其他后端服务。

• 直接发起经过身份验证的请求，无需交换令牌。
• 仅选择工作负载所需的权限，并设置有效期。
• 利用重叠窗口轮换密钥；如果密钥已泄露，请立即吊销。

使用 API 密钥的集成不需要 OAuth 客户端。请先阅读快速入门，然后参阅 API 密钥了解创建与轮换方法。

​

需要短期有效的访问令牌时请选择 OAuth

如果您的组织要求使用会过期的访问令牌，或者集成工具需要 client_credentials 授权类型，请为机密后端服务使用 OAuth 客户端凭据。

1. 为服务账户创建一个限定范围的 OAuth 客户端。
2. 使用设置期间提供的客户端身份验证方法，向您所在区域的令牌端点对客户端进行身份验证。
3. 在 API 请求中携带获得的访问令牌。请在当前令牌过期之前获取新令牌。

OAuth 会为您的集成增加令牌获取和过期处理的工作。客户端密钥仍需安全存储并定期轮换；短期有效的令牌并不能免除这一责任。客户端凭据流程不使用刷新令牌：请再次对客户端进行身份验证以获取新的访问令牌。 必须为您的组织启用 OAuth 访问。如果尚未启用，请使用 API 密钥，或就您的需求联系 Living Security 支持团队。有关客户端创建、一次性密钥、吊销和恢复的信息，请参阅 OAuth 客户端凭据。

​

将凭据保留在您的后端

服务账户的 API 密钥和 OAuth 客户端密钥应存放在服务器端的密钥存储中。请勿将其放入浏览器代码、移动应用、源代码管理或日志中。服务账户凭据以工作负载的身份运行，不会让任何人登录，也不提供客户授权同意流程。 无论使用哪种方式，都请使用适用于您组织的区域 API 主机。更改身份验证方法不会改变资源 URL、API 版本或操作所需的权限。