驗證

使用 Public API 並不一定需要 OAuth。 若為私有的伺服器端整合，請先使用限定範圍的 API 金鑰，並依照快速入門操作。當您的安全政策要求使用短期存取權杖，或您的整合平台已支援該流程時，請選擇 OAuth 用戶端憑證。 兩種選項都會使用服務帳戶。服務帳戶是整合的身分，並非第三種驗證方法。

​

各項元素如何搭配運作

請為每個整合建立一個服務帳戶。為該帳戶選擇 API 金鑰或 OAuth 用戶端其中一種方式；每個 API 請求無需同時使用兩種方法。任何一種憑證都不能超出該帳戶目前的權限。 快速入門使用 Basic 驗證。API 金鑰也支援 Bearer 標頭；使用該標頭並不表示您需要 OAuth 用戶端。

​

簡單的整合請選擇 API 金鑰

當您將密鑰儲存在密鑰管理工具中即可符合安全需求時，可將 API 金鑰用於自己的排程作業、報表指令碼、資料管線或其他後端服務。

• 直接發出已驗證的請求，無需進行權杖交換。
• 僅選取工作負載所需的權限，並設定到期時間。
• 利用重疊期輪替金鑰；若金鑰外洩，則立即撤銷。

使用 API 金鑰的整合不需要 OAuth 用戶端。請先參閱快速入門，再參閱 API 金鑰以了解建立與輪替方式。

​

需要短期存取權杖時請選擇 OAuth

當貴組織要求使用會過期的存取權杖，或整合工具需要 client_credentials 授權類型時，請為機密後端服務使用 OAuth 用戶端憑證。

1. 為服務帳戶建立限定範圍的 OAuth 用戶端。
2. 使用設定期間提供的用戶端驗證方法，向您所在區域的權杖端點驗證該用戶端。
3. 隨 API 請求傳送取得的存取權杖。請在目前的權杖到期前取得新的權杖。

OAuth 會為您的整合增加權杖取得與到期處理的工作。用戶端密鑰仍需安全儲存並定期輪替；使用短期權杖並不會免除此責任。用戶端憑證流程不使用更新權杖：請再次驗證用戶端以取得新的存取權杖。 貴組織必須已啟用 OAuth 存取。若尚未啟用，請使用 API 金鑰，或就您的需求聯絡 Living Security 支援團隊。如需了解用戶端建立、一次性密鑰、撤銷與復原，請參閱 OAuth 用戶端憑證。

​

將憑證保留在後端

服務帳戶 API 金鑰與 OAuth 用戶端密鑰應存放於伺服器端的密鑰儲存區。請勿將其放入瀏覽器程式碼、行動應用程式、原始碼控制或日誌中。服務帳戶憑證是以工作負載的身分運作，不會讓任何人登入，也不提供客戶同意流程。 無論使用哪種方法，都請使用適用於貴組織的區域 API 主機。變更驗證方法不會改變資源 URL、API 版本，也不會改變操作所需的權限。