Quelle est la base technique du flux ?

App ID met en œuvre les spécifications OAuth 2.0 et OIDC, qui utilisent des jetons de support pour l'authentification et l'autorisation. Ces jetons sont formatés en tant que jetons Web JSON, qui sont signés numériquement et contiennent des revendications qui décrivent le sujet authentifié et le fournisseur d'identité. Les API de votre application sont protégées par des jetons d'accès et d'identité. Les clients qui doivent accéder à vos API peuvent s'authentifier auprès du fournisseur d'identité via App ID en échange de ces jetons. Les revendications figurant dans les jetons doivent être validées pour accorder l'accès aux API protégées.

Pour plus d'informations sur l'utilisation des jetons dans App ID, voir Connaissance des jetons.

A quoi ressemble le flux ?

1. Un client effectue une demande POST sur le serveur d'autorisations App ID afin d'obtenir un jeton d'accès. Une demande POST est généralement au format suivant :

   POST /oauth/v4/<tenantID>/token HTTP/1.1
   Content_type: application/x-www-form-urlencoded
   Authorization header = "Basic" + base64encode(<clientID>:<secret>)
   FormData = <grantType>
   

2. Si le client remplit les conditions requises, le serveur d'autorisations renvoie un jeton d'accès.

3. Le client envoie une demande à la ressource protégée. Les demandes peuvent être envoyées de plusieurs manières, selon la bibliothèque client HTTP utilisée, mais elles se présentent généralement sous la forme suivante :

   curl -H 'Authorization: Bearer <accessToken>'
   <https://my-protected-resource.com>
   

4. La ressource protégée ou l'API valide le jeton. Si le jeton est valide, l'accès à la ressource est accordé au client. Si le jeton ne peut pas être validé, l'accès est refusé.

Pour plus d'informations sur la configuration de votre application pour l'utilisation de Liberty for Java, voir Démarrage rapide : Tutoriel des applications dorsaux Liberty for Java.

Avant de commencer

Avant de commencer avec le SDK Node.js, vous devez respecter les prérequis suivants.

• Une instance d'App ID
• NPM version 4 ou ultérieure
• Noeud version 6 ou ultérieure

Installation du logiciel SDK Node.js

1. Ajoutez le logiciel SDK Node.js App ID au fichier package.json de votre application.

   "dependencies": {
      "ibmcloud-appid": "^7.0.0"
   }
   

2. Exécutez la commande suivante.

   npm install
   

Initialisation du logiciel SDK Node.js

1. Obtenez votre oauth server url.

   1. Accédez à l'onglet Données d'identification pour le service du tableau de bord App ID.
   2. Si vous ne disposez pas encore d'un ensemble de données d'identification, cliquez sur Nouvelles données d'identification puis sur Ajouter pour créer un nouvel ensemble. Dans le cas contraire, ignorez cette étape.
   3. Cliquez sur le bouton Afficher les données d'identification pour afficher vos informations.
   4. Copiez votre URL oauth server url à utiliser à l'étape suivante.

2. Initialisez la stratégie Passport App ID, comme indiqué dans l'exemple suivant.

   var express = require('express'); 
   var passport = require('passport');
   var APIStrategy = require('ibmcloud-appid').APIStrategy; 
   passport.use(new APIStrategy({ oauthServerUrl: "<oauthServerUrl>" })); 
   var app = express();
   app.use(passport.initialize());
   

Sécurisation de l'API avec la stratégie d'API

Le fragment suivant montre comment utiliser ApiStrategy dans une application Express pour protéger l'API GET /protected.

Si votre application Node.js s'exécute sur IBM Cloud et est liée à votre instance d'App ID, il n'est pas nécessaire de fournir la configuration de la stratégie d'API. La configuration d'App ID obtient les informations à l'aide de la variable d'environnement VCAP_SERVICES.

 app.get('/protected_resource', passport.authenticate('APIStrategy.STRATEGY_NAME', { session: false }), function(request, response){
   console.log("Security context", request.appIdAuthorizationContext);
   response.send(200, "Success!");
   }
);

Lorsque les jetons sont valides, le middleware suivant de la chaîne de demande est appelé et la propriété appIdAuthorizationContext est ajoutée à l'objet de la demande. La propriété contient les jetons d'accès et d'identité d'origine ainsi que les informations de contenu décodées des jetons.