API Gateway prend en charge plusieurs méthodes d'authentification des API, notamment l'authentification simple (AppCode), l'authentification par résumé (digest) et l'authentification basée sur les jetons JSON Web Token (JWT). Gérez également les autorisations pour contrôler quelles applications sont habilitées à appeler des API spécifiques.
Appeler une API avec l'authentification simple (AppCode)
Avec l'authentification simple basée sur AppCode, les clients authentifient les requêtes en transmettant un AppCode. Points clés :
Précautions : assurez-vous que la communication entre le client et API Gateway utilise HTTPS. Ne transmettez pas de données via HTTP.
Étapes pour appeler une API en mode d'authentification simple.
Utiliser l'authentification par résumé pour appeler une API
Pour appeler une API publiée qui utilise l'authentification par résumé (AppKey et AppSecret), les clients doivent calculer une signature pour le contenu de la requête et l'envoyer au serveur pour vérification. Points clés :
-
Présentation de la méthode d'authentification par résumé.
Valide les requêtes des clients afin de s'assurer qu'elles contiennent la signature correcte générée à partir de l'AppKey autorisé.
Empêche toute altération des requêtes pendant leur transmission.
Étapes pour utiliser un SDK afin d'appeler une API. Pour plus d'informations, consultez la rubrique Utiliser des SDK pour appeler des API.
Principe de fonctionnement de la méthode d'authentification par résumé.
Utilisez cette méthode d'authentification si vous souhaitez que les appelants d'API calculent la signature de la requête côté client.
Authentification par jeton basée sur JWT
API Gateway prend en charge l'accès autorisé à vos API basé sur JWT, ce qui vous permet de personnaliser les paramètres de sécurité. Points clés :
Flux de travail d'API Gateway utilisant le plug-in d'authentification JWT pour mettre en œuvre l'authentification.
-
JWT
Présentation.
Portée de l'autorisation et période de validité.
Caractéristiques du JWT.
Méthodes pour utiliser un plug-in d'authentification JWT afin de protéger les API.
Exemple de code pour émettre un jeton.
Codes d'erreur.
Gestion des autorisations
Les autorisations définissent la relation entre les applications et les API. Seules les applications autorisées peuvent appeler les API correspondantes. Concepts clés :
Application : identité utilisée pour appeler une API.
Autorisation : les applications doivent être autorisées avant de pouvoir appeler une API.