Topik ini menjelaskan metode otentikasi API yang didukung oleh API Gateway, termasuk otentikasi sederhana (AppCode), otentikasi digest, dan otentikasi berbasis JSON Web Token (JWT). Topik ini juga mencakup cara mengelola otorisasi untuk memastikan keamanan dan fleksibilitas panggilan API.
Memanggil API dalam mode otentikasi sederhana
API Gateway menyediakan metode otentikasi sederhana berbasis AppCode untuk permintaan klien. Secara spesifik:
Pastikan komunikasi HTTPS digunakan antara klien dan API Gateway. Jangan mentransmisikan data melalui HTTP.
Langkah-langkah untuk memanggil API dalam mode otentikasi sederhana.
Gunakan otentikasi digest untuk memanggil API
Untuk memanggil API yang menggunakan metode otentikasi digest (AppKey dan AppSecret), klien harus menggunakan pasangan kunci tanda tangan untuk menghitung tanda tangan dari konten yang diminta, lalu mengirimkan tanda tangan tersebut ke server untuk verifikasi. Secara spesifik:
Pengenalan Metode Otentikasi Digest.
Memeriksa validitas permintaan yang diterima dari klien untuk memastikan bahwa permintaan tersebut berisi tanda tangan yang benar berdasarkan AppKey yang telah diberi otorisasi.
Mencegah permintaan diubah selama transmisi.
Langkah-langkah untuk menggunakan SDK untuk membuat panggilan API. Untuk informasi lebih lanjut, lihat Gunakan SDK untuk Memanggil API.
Prinsip Kerja Metode Otentikasi Digest.
Jika Anda ingin pemanggil API menghitung tanda tangan untuk permintaan pada klien mereka sendiri, Anda dapat menggunakan metode otentikasi ini.
Otentikasi berbasis JWT
API Gateway menyediakan mekanisme akses terotorisasi ke API Anda berdasarkan JWT. Anda dapat menggunakan mekanisme ini untuk menyesuaikan pengaturan keamanan. Secara spesifik:
Alur kerja API Gateway menggunakan Plugin otentikasi JWT untuk menerapkan otentikasi.
JWT
Pengenalan.
Ruang Lingkup Otorisasi dan Periode Validitas.
Karakteristik JWT.
Metode untuk menggunakan Plugin otentikasi JWT untuk melindungi API.
Contoh Kode untuk Menerbitkan Token.
Kode Kesalahan.
Kelola otorisasi
Otorisasi mengacu pada hubungan otorisasi antara aplikasi dan API. Hanya aplikasi yang diberi otorisasi yang dapat memanggil API yang sesuai. Secara spesifik:
Aplikasi: Aplikasi adalah identitas yang digunakan untuk memanggil API.
Otorisasi: Aplikasi harus diberi otorisasi sebelum dapat digunakan untuk memanggil API.