OAuth 2 für den Zugriff auf die REST-API verwenden

Schritt 1: Vertrauliche Anwendung in Identitätsdomains mit der Konsole registrieren

Wenn Sie eine vertrauliche Anwendung in der Identitätsdomainkonsole registrieren, erhalten Sie einige der Schlüsselparameter, die Sie für die Arbeit mit OAuth 2.0 benötigen: Client-ID, Client Secret und Geltungsbereiche. OAuth 2.0 ist ein Standard für die Implementierung der delegierten Autorisierung. Die Autorisierung basiert auf dem Zugriffstoken, das für den Zugriff auf eine Ressource erforderlich ist. Das Zugriffstoken kann für einen bestimmten Geltungsbereich ausgegeben werden, der definiert, was das Zugriffstoken tun kann und auf welche Ressourcen es zugreifen kann. Wenn Sie eine Webanwendung in einer Identitätsdomain registrieren, fügen Sie Geltungsbereiche hinzu. Im folgenden Beispiel werden die erforderlichen Geltungsbereiche zum Anfordern von Benutzersuchen, -bearbeitungen, -erstellungen und -löschungen hinzugefügt. Wenn Sie jedoch andere Aufgaben ausführen würden, z.B. Auditereignisse verwalten, wären andere Geltungsbereiche erforderlich.

Um eine vertrauliche Anwendung zu erstellen und zu registrieren, greifen Sie auf die OCI-Konsole zu, und führen Sie die folgenden Schritte aus:

1. Öffnen sie das Navigationsmenü , und wählen Sie Identität und Sicherheit aus. Wählen Sie unter Identität die Option Domains aus.
2. Klicken Sie auf den Namen der Identitätsdomain, in der Sie arbeiten möchten. Möglicherweise müssen Sie das Compartment ändern, um die gewünschte Domain zu finden. Klicken Sie dann auf Integrierte Anwendungen.
3. Wählen Sie Anwendung hinzufügen aus.
4. Wählen Sie im Dialogfeld Anwendung hinzufügen die Option Vertrauliche Anwendung und dann Workflow starten aus.
5. Geben Sie auf der Seite Anwendungsdetails hinzufügen einen Anwendungsnamen und eine Beschreibung ein, und wählen Sie Weiter aus.
6. Wählen Sie auf der Seite OAuth konfigurieren unter Clientkonfiguration die Option Diese Anwendung jetzt als Client konfigurieren aus.
7. Wählen Sie unter Autorisierung nur Clientzugangsdaten als Zulässiger Berechtigungstyp aus.
8. Wählen Sie unten auf der Seite Anwendungsrollen hinzufügen und dann Rollen hinzufügen aus.
9. Wählen Sie im Bereich Anwendungsrollen hinzufügen die Option Identitätsdomainadministrator und dann Hinzufügen aus.
10. Wählen Sie Weiter, Fertigstellen aus.
11. Scrollen Sie auf der Detailseite der Anwendung nach unten zu Allgemeine Informationen. Kopieren Sie die Client-ID und das Client Secret, und speichern Sie sie an einem sicheren Ort.
12. Nachdem die Anwendung erstellt wurde, wählen Sie Aktivieren aus.

Schritt 2: Base64 Client-ID und Client-Secret codieren

Fenster

1. Starten Sie Notepad, und fügen Sie dann die Client-ID und das Client Secret in Notepad ein.

2. Platzieren Sie die Client-ID und das Client Secret in derselben Zeile, und fügen Sie einen Doppelpunkt zwischen ihnen ein: clientid:clientsecret

   Hinweis
   
   Stellen Sie sicher, dass das Attribut clientid:clientsecret keine Leerzeichen enthält.

3. Speichern Sie die Datei in C:\temp, und nennen Sie die Datei appCreds.txt..

4. Klicken Sie in Windows Explorer mit der rechten Maustaste auf C:\temp, und wählen Sie CMD-Eingabeaufforderung hier aus dem Kontextmenü.

5. Geben Sie den folgenden Befehl ein, um die Client-ID und das Client Secret zu codieren:

   certutil -encode appCreds.txt appbase64Creds.txt

6. Öffnen Sie in Notepad C:\temp\appbase64Creds.txt, kopieren Sie den Inhalt, und schließen Sie die Datei.

   Hinweis
   
   Löschen Sie aus Sicherheitsgründen die Dateien appCreds.txt und appbase64Creds.txt, nachdem Sie den Vorgang abgeschlossen haben.

Mac und Linux

1. Starten Sie Ihr bevorzugtes Notizutility (z.B. Mac Notes, Gedit Linux oder Vi), und fügen Sie dann die Client-ID und das Client Secret in das Notizutility ein.

2. Platzieren Sie die Client-ID und das Client Secret in derselben Zeile, und fügen Sie einen Doppelpunkt zwischen ihnen ein: clientid:clientsecret.

   Hinweis
   
   Stellen Sie sicher, dass keine Leerzeichen in der clientid:clientsecret vorhanden sind.
   Anweisung.

3. Kopieren Sie die Zeile clientid:clientsecret.

4. Starten Sie ein Terminal, und geben Sie den folgenden Befehl ein. Ersetzen Sie clientid:clientsecret durch den Wert, den Sie in die Zwischenablage kopiert haben.

   echo -n "clientid:clientsecret" | base64 -w 0

   Hinweis
   
   Fügen Sie unter Linux dem Befehl -w 0 hinzu, um Zeilenumbrüche zu entfernen.
5. Kopieren Sie den zurückgegebenen Wert.

   Hinweis
   
   Wenn der zurückgegebene Wert in mehrere Zeilen unterteilt ist, kehren Sie zum Texteditor zurück, und stellen Sie sicher, dass sich die gesamten Ergebnisse in einer einzigen Zeile ohne Textumbruch befinden.

Schritt 3: Zugriffstoken abrufen

Der nächste Schritt in diesem Prozess ist, das Zugriffstoken anzufordern.

1. Starten Sie eine Eingabeaufforderung.

2. Geben Sie den folgenden cURL-Befehl ein, und ersetzen Sie den Text in Klammern ( < > ) durch die entsprechenden Werte:

      curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__"

   Hinweis
   
   Wenn Sie ein UNIX-Betriebssystem verwenden, können Sie | awk -F"\"" '{print $4}' an das Ende des cURL-Befehls anhängen, um nur das Bearer-Token zu parsen. Denken Sie daran, dass der standardmäßige Ablauf des Tokens 3600 Sekunden ab dem Zeitpunkt der Anforderung beträgt.
   Hinweis
   
   Führen Sie optional den folgenden cURL-Befehl aus, damit der Zugriffstokenwert über eine UNIX-Variable namens AccessTokenValue in Ihrer Umgebung zugänglich ist:

      export AccessTokenValue=`curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" | awk -F"\"" '{print $4}' |  tail -n +16`

   Sie können dann den Befehl echo $AccessTokenValue ausführen, um den Zugriffstokenwert abzurufen.

   Text in Klammern	Wert
   base64encoded clientid:secret	Ersetzen Sie sie durch die codierten Zugangsdaten, die Sie im Abschnitt Base64 Client-ID und Client Secret codieren generiert haben. Stellen Sie sicher, dass die clientid:clientsecret-Zugangsdaten keine Leerzeichen enthalten.
   IDCS_Service_Instance	Durch Identitätsdomain-URL ersetzen (Beispiel: https://<domainURL>/).)

   Hinweis
   
   Der Geltungsbereich urn:opc:idm:__myscopes__ im Befehl wird von Identitätsdomainclients, die Zugriffstoken vom Autorisierungsserver OAuth anfordern, als Tag verwendet. Zugriffstoken werden zurückgegeben, die alle anwendbaren Identitätsdomaingeltungsbereiche basierend auf den Berechtigungen enthalten, die von den Identitätsdomainadministratorrollen dargestellt werden, die dem anfordernden Client erteilt wurden, und dem Benutzer, der durch die Anforderung des Clients angegeben wird (sofern vorhanden). Dieser Geltungsbereich wird keiner Identitätsdomainadministratorrolle direkt erteilt.

3. Kopieren Sie den Wert access_token aus der Antwort. Stellen Sie sicher, dass nur das tatsächliche Token kopiert wird. Dies ist der Wert access_token zwischen den Anführungszeichen:

   Status: 200
   "access_token":"eyJ4NXQiOiI4Wk. . ."
   "token":"Bearer",
   "expires_in":3600
   

   Hinweis
   
   Die Antwort enthält den Parameter expires_in: 3600. Dies bedeutet, dass Ihr Token nach einer Stunde ab dem Zeitpunkt, an dem Sie es generieren, nicht mehr gültig ist. Nach einer Stunde müssen Sie das Token aktualisieren oder ein neues Zugriffstoken abrufen. Um das Token zu aktualisieren, geben Sie den folgenden cURL-Befehl ein. Ersetzen Sie den Text in Klammern ( < > ) durch die entsprechenden Werte:

   curl -i
     -H "Authorization: Basic <base64 encoded client ID and secret>"
     -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
     --request POST https://<domainURL>/oauth2/v1/token
     -d "grant_type=refresh_token&refresh_token=<token_value>"

Schritt 4: REST-Anforderung an die Umgebung erstellen

Nachdem Sie das Zugriffstoken OAuth 2.0 abgerufen haben, können Sie das Token in einem cURL-Befehl verwenden, um eine REST-Anforderung an die REST-API der Identitätsdomains zu senden. Der folgende Befehl gibt eine Liste der Benutzer in einer Identitätsdomain zurück.

   curl -X GET
   -H "Content-Type:application/scim+json"
   -H "Authorization: Bearer <access_token>"
   https://<domainURL>/admin/v1/Users