¿Cuál es la base técnica del flujo?

App ID implementa OAuth 2.0 y la especificación OIDC, que utiliza tokens de portador para autenticación y autorización. Estos tokens se formatean como JSON Web Tokens, que están firmados digitalmente y contienen reivindicaciones que describen al sujeto que se está autenticando y al proveedor de identidad. Las API de la aplicación están protegidas por señales de identidad y acceso. Es posible autenticar los clientes que necesitan acceso a las API con el proveedor de identidad mediante App ID a cambio de estas señales. Las reclamaciones de las señales deben validarse para otorgar acceso a las API protegidas.

Para obtener más información sobre cómo se utilizan las señales en App ID, consulte Comprensión de las señales.

¿Qué aspecto tiene el flujo?

1. Un cliente realiza una solicitud POST al servidor de autorización de App ID para obtener una señal de acceso. Por lo general, una solicitud POST tiene el formato siguiente:

   POST /oauth/v4/<tenantID>/token HTTP/1.1
   Content_type: application/x-www-form-urlencoded
   Authorization header = "Basic" + base64encode(<clientID>:<secret>)
   FormData = <grantType>
   

2. Si el cliente cumple con las cualificaciones, el servidor de autorización devolverá una señal de acceso.

3. El cliente envía una solicitud al recurso protegido. Las solicitudes se pueden enviar de varias formas, en función de la biblioteca de cliente HTTP que esté utilizando, pero en general una solicitud adopta el formato siguiente:

   curl -H 'Authorization: Bearer <accessToken>'
   <https://my-protected-resource.com>
   

4. El recurso protegido o la API validan la señal. Si la señal es válida, se otorgará el acceso al recurso para el cliente. Si la señal no se puede validar, se denegará el acceso.

Para obtener información sobre cómo configurar la aplicación para que utilice Liberty for Java, consulte la Guía de aprendizaje de aplicaciones de programa de fondo de Liberty for Java.

Antes de empezar

Antes de empezar a utilizar el SDK de Node.js, debe cumplir los siguientes requisitos previos.

• Una instancia de App ID
• NPM versión 4 o superior
• Node versión 6 o superior

Instalación del SDK de Node.js

1. Añada el SDK de Node.js de App ID en el archivo package.json de su app.

   "dependencies": {
      "ibmcloud-appid": "^7.0.0"
   }
   

2. Ejecute el mandato siguiente.

   npm install
   

Inicialización del SDK de Node.js

1. Obtenga el oauth server url.

   1. Vaya al separador Credenciales de servicio del panel de control de App ID.
   2. Si aún no dispone de un conjunto de credenciales, pulse en Nueva credencial y, a continuación, en Añadir para crear uno nuevo. Si ya lo tiene, omita este paso.
   3. Pulse en el conmutador Ver credenciales para ver la información.
   4. Copie el oauth server url para utilizarlo en el paso siguiente.

2. Inicialice la estrategia Passport de App ID como se muestra en el ejemplo siguiente.

   var express = require('express'); 
   var passport = require('passport');
   var APIStrategy = require('ibmcloud-appid').APIStrategy; 
   passport.use(new APIStrategy({ oauthServerUrl: "<oauthServerUrl>" })); 
   var app = express();
   app.use(passport.initialize());
   

Protección de la API con la estrategia de API

El fragmento de código siguiente muestra cómo utilizar ApiStrategy en una app Express para proteger la API GET /protected.

Si la app Node.js se ejecuta en IBM Cloud y está enlazada a la instancia de App ID, no será necesario proporcionar la configuración de estrategia de la API. La configuración de App ID obtiene la información utilizando la variable de entorno VCAP_SERVICES.

 app.get('/protected_resource', passport.authenticate('APIStrategy.STRATEGY_NAME', { session: false }), function(request, response){
   console.log("Security context", request.appIdAuthorizationContext);
   response.send(200, "Success!");
   }
);

Cuando las señales son válidas, se llama al siguiente middleware en la cadena de solicitudes y la propiedad appIdAuthorizationContext se añade al objeto de solicitud. La propiedad contiene el acceso original y las señales de identidad, además de información de carga útil descodificada de las señales.