OAuth 2.0 yetkilendirme desteği - Alibaba Cloud DevOps - Alibaba Cloud Dokümantasyon Merkezi

Yetkilendirme akışına genel bakış

Üçüncü taraf uygulamalar, kullanıcı kimlik bilgilerini işlemeden erişim belirteçleri elde etmek için yetkilendirme kodu akışını kullanır. Verilen erişim belirteci, yetkilendiren kullanıcıyla aynı kaynak erişim izinlerine sahiptir. Aşağıdaki sıra, akışın Alibaba Cloud DevOps ile nasıl çalıştığını açıklar:

İstemci kaydı — Otomatik olarak bir client_id elde etmek için Dinamik İstemci Kaydı (DCR) uç noktasını kullanın. Alibaba Cloud DevOps yalnızca genel istemcileri desteklediğinden ön kayıt veya client_secret gerekmez.
Kullanıcı yetkilendirmesi isteği — Kullanıcıyı yetkilendirme uç noktasına yönlendirin. Kullanıcı oturum açıp yetki verdikten sonra bir yetkilendirme kodu verilir.
Kodu belirteçlerle değiştirme — Yetkilendirme kodunu PKCE code_verifier ile birlikte belirteç uç noktasına gönderin. Alibaba Cloud DevOps bir erişim belirteci (24 saat geçerli) ve bir yenileme belirteci (90 gün geçerli) döndürür.
Belirteçleri yenileme — Erişim belirtecinin süresi dolmadan önce, yeni bir erişim belirteci elde etmek için belirteç uç noktasında yenileme belirtecini kullanın.

Desteklenen özellikler

Özellik	Ayrıntılar
Yetkilendirme akışı	`refresh_token` desteğiyle yetkilendirme kodu akışı (`authorization_code`)
İstemci türü	Yalnızca genel istemci; `token_endpoint_auth_method` yalnızca `none` değerini destekler; `client_secret` verilmez
PKCE	Zorunludur; `code_challenge_method` yalnızca `S256` değerini destekler
Dinamik İstemci Kaydı (DCR)	Desteklenir; istemciler ön kayıt gerektirmeden otomatik olarak bir `client_id` alır
Meta veri keşfi	Yetkilendirme sunucusu meta verisi keşfini ve korunan kaynak meta verisi keşfini destekler
Belirteç biçimi	Opak belirteçler (JSON Web Token (JWT) değil); erişim belirteçleri `oat-` önekiyle, yenileme belirteçleri ise `ort-` önekiyle başlar
Belirteç ömrü	Erişim belirteci: 24 saat; yenileme belirteci: 90 gün

Desteklenmeyen özellikler

Özellik	Açıklama
İstemci kimlik bilgileri akışı (`client_credentials`)	Kullanıcı katılımı olmadan makineden makineye yetkilendirme desteklenmez
Kaynak sahibi parola akışı (`password`)	Desteklenmez
Örtük akış (`implicit`)	Desteklenmez
Düz PKCE	Desteklenmez; yalnızca `S256` kabul edilir
Gizli istemciler / `client_secret`	Verilmez veya doğrulanmaz
Belirteç iç gözlem uç noktası, belirteç iptal uç noktası	Dışa açılmaz
Kapsam tabanlı izin kısıtlaması	Desteklenmez; belirteç izinleri yetkilendiren kullanıcının izinlerine eşdeğerdir; `scope` yalnızca meta veri olarak depolanır

Uç nokta referansı

Uç nokta URL'lerini sabit kodlamak yerine meta veri keşfi yoluyla edinin. Yetkilendirme uç noktası ve belirteç uç noktası farklı etki alanlarında bulunabilir.

Uç Nokta	Yol	Yöntem	Kimlik Doğrulama	Açıklama
Yetkilendirme sunucusu meta verisi	`/.well-known/oauth-authorization-server`	GET	Anonim	Uç nokta URL'lerini keşfedin
Korunan kaynak meta verisi	`/.well-known/oauth-protected-resource`	GET	Anonim	İlgili yetkilendirme sunucusunu alın
Dinamik istemci kaydı	`/v1/oauth2/register`	POST	Anonim	Bir istemci kaydedin ve bir `client_id` alın
Yetkilendirme uç noktası	`/v1/oauth2/authorize`	GET / POST	Kullanıcı oturum açma	Kullanıcı yetki verir; bir yetkilendirme kodu verilir
Belirteç uç noktası	`/v1/oauth2/token`	POST	Genel istemci (anonim)	Bir yetkilendirme kodunu belirteçlerle değiştirin veya belirteçleri yenileyin

Yetkilendirme sunucusu meta verisi yanıt alanları

/.well-known/oauth-authorization-server uç noktası aşağıdaki alanları döndürür:

Alan	Değer
`issuer`	Yetkilendirme sunucusu tanımlayıcısı (siteye göre değişir)
`authorization_endpoint`	Yetkilendirme uç noktası URL'si (belirteç uç noktasından etki alanı açısından farklı olabilir)
`token_endpoint`	Belirteç uç noktası URL'si
`registration_endpoint`	Dinamik kayıt uç noktası URL'si
`response_types_supported`	`["code"]`
`grant_types_supported`	`["authorization_code", "refresh_token"]`
`code_challenge_methods_supported`	`["S256"]`
`token_endpoint_auth_methods_supported`	`["none"]`

Not

Meta verisi yanıtı scopes_supported, jwks_uri, introspection_endpoint veya revocation_endpoint içermez. Yanıt Cache-Control: public, max-age=3600 içerir.

Korunan kaynak meta verisi yanıt alanları

/.well-known/oauth-protected-resource uç noktası aşağıdaki alanları döndürür:

Alan	Açıklama
`resource`	Korunan kaynak tanımlayıcısı
`authorization_servers`	Bu kaynakla ilişkili yetkilendirme sunucusu URL'lerinin listesi

Siteler

Yetkilendirme hizmeti, Merkez sitesinde ve Bölge sitelerinde bağımsız olarak sağlanır. İki site birbirinden izole edilmiştir; client_id değerleri ve belirteçler siteler arasında değiştirilemez.

Site	Hizmet URL'si
Merkez sitesi	`https://openapi-rdc.aliyuncs.com`
Bölge sitesi	Örnek erişim etki alanınız (konsoldaki örnek ayarlarında mevcuttur)