Ajout de la prise en charge de mTLS aux déploiements d'API

Pour ajouter une politique de demande mTLS à une spécification de déploiement d'API à l'aide de la console :

1. Créez ou mettez à jour un déploiement d'API à l'aide de la console, sélectionnez l'option À partir de zéro et entrez les détails dans la page Informations de base.

   Pour plus d'informations, voir Déploiement d'une API sur une passerelle d'API en créant un déploiement d'API et Mise à jour d'une passerelle d'API.

2. Dans la section Politiques de demande d'API de la page Informations de base, sous Mutual-TLS, sélectionnez l'option Activer mTLs et spécifiez éventuellement :

   • Nom de remplacement du sujet (SAN) / Nom commun : Valeurs qui doivent apparaître dans un ou plusieurs des champs suivants du certificat présenté par le client d'API pour que la passerelle d'API accepte les demandes du client :
     • Adresse courriel
     • URL
     • Nom de domaine

     Par exemple example.com. Vous pouvez spécifier jusqu'à 10 valeurs par défaut (vous pouvez modifier cette limite interne). La validation n'est pas sensible à la casse.

     Vous pouvez inclure un caractère générique astérisque (*) au début et/ou à la fin de chaque valeur, pour représenter zéro, un ou plusieurs caractères. Vous ne pouvez pas inclure un caractère générique d'astérisque au milieu de la valeur. Par exemple :

     • *.example.com correspond à server.example.com
     • server.example.* correspond à server.example.com
     • *.example.* correspond à server.example.com
     • server.*.com ne correspond pas à server.example.com, car le caractère générique ne peut pas se trouver au milieu de la valeur

     Si vous spécifiez des valeurs lors de la configuration de mTLS pour un déploiement d'API, la passerelle d'API rejettera les demandes des clients d'API présentant des certificats qui ne les contiennent pas. Si vous ne spécifiez pas de valeurs lors de la configuration de mTLS, la passerelle d'API acceptera toutes les demandes des clients d'API fournissant le certificat valide.

3. Sélectionnez Vérifier pour vérifier les détails que vous avez entrés pour le déploiement d'API.
4. Sélectionnez Créer ou enregistrer les modifications pour créer ou mettre à jour le déploiement d'API.
5. (Facultatif) Vérifiez que l'API a été déployée avec succès en l'appelant (voir Appel d'une API déployée sur une passerelle d'API).

Pour ajouter une politique de demande mTLS à une spécification de déploiement d'API dans un fichier JSON :

1. Dans votre éditeur JSON préféré, modifiez la spécification de déploiement d'API existante à laquelle vous souhaitez ajouter la prise en charge de mTLS ou créez une spécification de déploiement d'API (voir Création d'une spécification de déploiement d'API).

   Par exemple, la spécification de déploiement d'API de base suivante définit une simple fonction sans serveur Hello World du service des fonctions pour OCI en tant qu'élément dorsal unique :

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. Pour spécifier une politique de demande mTLS qui s'applique globalement à toutes les routes d'un déploiement d'API :

   1. Insérez une section requestPolicies avant la section routes, si elle n'existe pas déjà. Par exemple :

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. Ajoutez la politique mutualTLS suivante à la nouvelle section requestPolicies pour l'appliquer globalement à toutes les routes d'un déploiement d'API :

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      où :

      • "isVerifiedCertificateRequired": true|false est true ou false, indiquant si mTLS est activé pour le déploiement d'API. Si vous ne spécifiez pas de valeur, la valeur par défaut est false.
      • "allowedSans": [<list-of-values>] est une liste facultative séparée par des virgules de valeurs qui doit apparaître dans un ou plusieurs des champs suivants du certificat présenté par le client d'API pour que la passerelle d'API accepte les demandes du client :
        • Adresse courriel
        • URL
        • Nom de domaine

        Par exemple example.com. Vous pouvez spécifier jusqu'à 10 valeurs par défaut (vous pouvez modifier cette limite interne). La validation n'est pas sensible à la casse.

        Vous pouvez inclure un caractère générique astérisque (*) au début et/ou à la fin de chaque valeur, pour représenter zéro, un ou plusieurs caractères. Vous ne pouvez pas inclure un caractère générique d'astérisque au milieu de la valeur. Par exemple :

        • *.example.com correspond à server.example.com
        • server.example.* correspond à server.example.com
        • *.example.* correspond à server.example.com
        • server.*.com ne correspond pas à server.example.com, car le caractère générique ne peut pas se trouver au milieu de la valeur

        Si vous spécifiez des valeurs lors de la configuration de mTLS pour un déploiement d'API, la passerelle d'API rejettera les demandes des clients d'API présentant des certificats qui ne les contiennent pas. Si vous ne spécifiez pas de valeurs lors de la configuration de mTLS, la passerelle d'API acceptera toutes les demandes des clients d'API fournissant le certificat valide.

      Par exemple :

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. Enregistrez le fichier JSON contenant la spécification de déploiement d'API.

4. Utilisez comme suit la spécification de déploiement d'API lorsque vous créez ou mettez à jour un déploiement d'API :

   • En spécifiant le fichier JSON dans la console lorsque vous sélectionnez l'option Charger une API existante.
   • En spécifiant le fichier JSON dans une demande à l'API REST du service Passerelle d'API.

   Pour plus d'informations, voir Déploiement d'une API sur une passerelle d'API en créant un déploiement d'API et Mise à jour d'une passerelle d'API.

5. (Facultatif) Vérifiez que l'API a été déployée avec succès en l'appelant (voir Appel d'une API déployée sur une passerelle d'API).