Identidade e autorização do aplicativo

Entendendo o fluxo de comunicação

Há várias razões pelas quais você pode desejar que um aplicativo se comunique com outro serviço ou aplicativo sem nenhuma intervenção do usuário. Por exemplo, um aplicativo não interativo que precisa acessar outro aplicativo para executar seu trabalho. Isso pode incluir processos, CLIs, daemons ou um dispositivo IoT que monitora e relata variáveis de ambiente para um servidor de envio de dados. Ocaso de uso específico é exclusivo para cada aplicativo, mas a coisa mais importante a ser lembrada é que assolicitações são trocadas em nome do aplicativo, não em nome de um usuário final, e é o aplicativo que é autenticado eautorizado.

Qual é a aparência desse fluxo?

Na imagem a seguir, é possível ver a direção da comunicação entre o serviço e seu aplicativo.

1. Registre o aplicativo que precisa autenticar para acessar um recurso protegido com o App ID.
2. O aplicativo A é registrado com o App ID para obter um identificador de cliente e um segredo.
3. O aplicativo A faz uma solicitação para o terminal /token do servidor de autorizações App ID enviando as credenciais recuperadas na etapa anterior.
4. O App ID valida a solicitação, autentica o aplicativo e retorna uma resposta ao Aplicativo A que contém um token de acesso.
5. Agora o aplicativo A é capaz de usar o token de acesso válido para enviar solicitações para recursos protegidos, como o Aplicativo B.

O segredo do cliente que é usado para autenticar o cliente é altamente sensível e deve ser mantido confidencial. Como o aplicativo usa o segredo do cliente no aplicativo, esse fluxo de trabalho deve ser usado somente com aplicativos confiáveis. O uso de um aplicativo confiável assegura que o segredo do cliente não vaze nem seja mal utilizado.

Registrando seu aplicativo

Obtendo um token de acesso

Após o seu aplicativo ser registrado com o App ID e você obter suas credenciais,será possível fazer uma solicitação para o servidor de autorizações App ID para obter um token de acesso.

1. Faça uma solicitação HTTP POST para o ponto de extremidade /token. Aautorização para a solicitação é Basic auth com o identificador de cliente e o segredo sendo usadocomo o nome de usuário e a senha que são codificados em Base64.

   curl -X POST https://<region>.appid.cloud.ibm.com/oauth/v4/<tenantID>/token \
      -H 'Authorization: Basic base64Encoded{clientId:secret}' \
      -H 'Content-Type: application/x-www-form-urlencoded' \
      -d 'grant_type=client_credentials'
   

   Resposta de exemplo:

   {
   "access_token": "eyJhbGciOiJS...F9A",
   "expires_in": "3600",
   "token_type": "Bearer"
   }
   

Tutorial: fluxo de ponta a ponta com o SDK Node.js

1. Obtenha um token de acesso de uma das seguintes maneiras:

   • Do SDK do servidor Node.js App ID usando o gerenciador de tokens. Inicialize o gerenciador de token com suas credenciais de aplicativo e faça uma chamada para o método getApplicationIdentityToken() para obter o token.

     const TokenManager = require('ibmcloud-appid').TokenManager;
     const config = {
     clientId: "<clientID>",
     tenantId: "<tenantID>",
     secret: "{secret}",
     oauthServerUrl: "https://<region>.appid.cloud.ibm.com/oauth/v4/<tenantID>"
     };
     const tokenManager = new TokenManager(config);
     tokenManager.getApplicationIdentityToken().then((appIdAuthContext) => {
     console.log(' Access tokens from SDK : ' + JSON.stringify(appIdAuthContext));
     }).catch((err) => {
     //console.error('Error retrieving tokens : ' + err);
     });
     

   • Por meio do servidor de autorizações do App ID.

     O oauthServerUrl na solicitação é obtido quando você registra seu aplicativo. Se você registrou seu aplicativo com as APIs de gerenciamento, a URL do servidor estará no corpo de resposta. Sevocê registrou seu aplicativo ligando-o ao console do IBM Cloud, a URL poderá ser localizada em seu objeto JSON VCAP_SERVICES ou por meio de seus segredos do Kubernetes.

     var request = require('request');
     function getAccessToken() {
     let options = {
           method: 'POST',
           url: oauthServerUrl + '/token',
           headers: { 'content-type': 'application/x-www-form-urlencoded',
              'Authorization': 'Basic ' +Buffer.from('clientId: secret').toString('base64')
           },
           form: {
              grant_type: 'client_credentials'
           }
     };
     return new Promise((resolve, reject) => {
           request(options, function (error, response, body) {
              if (error) {
                 return reject(error);
              }
              let data = JSON.parse(body);
              if(data.access_token) {
                 resolve(data.access_token);
              } else {
                 reject(data);
              }
           })
     });
     }
     

2. Faça uma solicitação para seu recurso protegido usando o token de acesso obtido na etapa anterior.

   let options = {
      method: 'GET',
      url: 'http://localhost:8081/protected_resource',
      headers: { authorization : 'Bearer ' + accessToken}
   }
   request(options, function (error, response, body) {
      if (error) {
         console.log(error)
      } else {
            res.status(response.statusCode).send({
      console.log(JSON.stringify(body));
            });
      }
   });
   

3. Faça com que seus recursos protegidos fiquem seguros usando a estratégia de API por meio do SDK do Node.js do App ID.

   const express = require('express'),
      passport = require('passport');
      APIStrategy = require("ibmcloud-appid").APIStrategy;
   var app = express();
   app.use(passport.initialize());
   passport.use(new APIStrategy({
      oauthServerUrl: "https://{region}.appid.cloud.ibm.com/oauth/v4/{tenant-ID}",
      tenantId:"{tenant-ID}"
   }));
   app.get('/protected_resource',
      passport.authenticate(APIStrategy.STRATEGY_NAME, {session: false}),
      (req, res) => {
            res.send("Hello from protected resource");
   });