Utilisation de OAuth 2 pour accéder à l'API REST

Étape 1 : Enregistrer une application confidentielle dans des domaines d'identité à l'aide de la console

Lorsque vous enregistrez une application confidentielle dans la console du domaine d'identité, vous obtenez certains des paramètres clés dont vous avez besoin pour utiliser OAuth 2.0 : ID client, clé secrète client et étendues. OAuth 2.0 est une norme pour la mise en oeuvre de l'autorisation déléguée, et l'autorisation est basée sur le jeton d'accès requis pour accéder à une ressource. Le jeton d'accès peut être émis pour une portée donnée, qui définit ce que le jeton d'accès peut faire et les ressources auxquelles il peut accéder. Lorsque vous enregistrez une application Web dans un domaine d'identité, vous ajoutez des portées. Dans l'exemple suivant, les portées requises pour demander des recherches d'utilisateur, des modifications, des créations et des suppressions sont ajoutées. Mais, si vous deviez faire d'autres choses, par exemple, gérer les événements de vérification, cela nécessiterait d'autres étendues.

Pour créer et enregistrer une application confidentielle, accédez à la console OCI, puis procédez comme suit :

1. Ouvrez le menu de navigation et sélectionnez Identité et sécurité. Sous Identité, sélectionnez Domaines.
2. Cliquez sur le nom du domaine d'identité dans lequel vous voulez travailler. Vous devrez peut-être modifier le compartiment pour trouver le domaine souhaité. Cliquez ensuite sur Applications intégrées.
3. Sélectionnez Ajouter une application.
4. Dans la boîte de dialogue Ajouter une application, sélectionnez Application confidentielle, puis Lancer le flux de travail.
5. Dans la page Ajouter les détails de l'application, entrez un nom d'application et une description, puis sélectionnez Suivant.
6. Dans la page Configurer OAuth, sous Configuration du client, sélectionnez Configuration de cette application comme client maintenant.
7. Sous Autorisation, sélectionnez uniquement Données d'identification du client comme type de droit autorisé.
8. Au bas de la page, sélectionnez Ajouter des rôles d'application, puis Ajouter des rôles.
9. Dans le panneau Ajouter des rôles d'application, sélectionnez Administrateur de domaine d'identité, puis Ajouter.
10. Sélectionnez Suivant, puis Terminer.
11. Dans la page des détails de l'application, faites défiler l'affichage vers le bas jusqu'à Informations générales. Copiez l'ID client et la clé secrète client, puis stockez-les dans un emplacement sécurisé.
12. Une fois l'application créée, sélectionnez Activer.

Étape 2 : Base64 Encoder l'ID client et la clé secrète client

Windows

1. Lancez le Bloc-notes, puis collez l'ID client et la clé secrète client dans le Bloc-notes.

2. Placez l'ID client et la clé secrète client sur la même ligne et insérez un deux-points entre eux : clientid:clientsecret

   Note
   
   Assurez-vous qu'aucun espace n'est l'attribut clientid:clientsecret.

3. Enregistrez le fichier dans C:\temp et nommez-le appCreds.txt.

4. Dans l'Explorateur Windows, cliquez avec le bouton droit de la souris sur C:\temp, puis sélectionnez Invite CMD ici dans le menu contextuel.

5. Entrez la commande suivante pour encoder l'ID client et la clé secrète client :

   certutil -encode appCreds.txt appbase64Creds.txt

6. Dans le Bloc-notes, ouvrez C:\temp\appbase64Creds.txt, copiez son contenu, puis fermez le fichier.

   Note
   
   Pour des raisons de sécurité, supprimez les fichiers appCreds.txt et appbase64Creds.txt une fois que vous avez terminé.

Mac et Linux

1. Lancez votre utilitaire de note préféré (par exemple, Mac Notes, Gedit Linux ou Vi), puis collez l'ID client et la clé secrète client dans l'utilitaire de note.

2. Placez l'ID client et la clé secrète client sur la même ligne et insérez un deux-points entre eux : clientid:clientsecret.

   Note
   
   Assurez-vous qu'il n'y a pas d'espace dans clientid:clientsecret.
   énoncé.

3. Copiez la ligne clientid:clientsecret.

4. Lancez un terminal et entrez la commande suivante, en remplaçant clientid:clientsecret par la valeur que vous avez copiée dans le presse-papiers.

   echo -n "clientid:clientsecret" | base64 -w 0

   Note
   
   Pour Linux, ajoutez -w 0 à la commande pour supprimer les sauts de ligne.
5. Copiez la valeur retournée.

   Note
   
   Si la valeur retournée est divisée en plusieurs lignes, retournez à l'éditeur de texte et assurez-vous que les résultats complets se trouvent sur une seule ligne sans encapsulation de texte.

Étape 3 : Obtenir un jeton d'accès

L'étape suivante de ce processus consiste à demander le jeton d'accès.

1. Lancez une invite de commande.

2. Entrez la commande cURL ci-dessous, en remplaçant le texte entre crochets ( < > ) par les valeurs appropriées :

      curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__"

   Note
   
   Si vous utilisez un système d'exploitation UNIX, vous pouvez ajouter | awk -F"\"" '{print $4}' à la fin de la commande cURL pour analyser uniquement le jeton Bearer. N'oubliez pas que l'expiration par défaut du jeton est de 3600 secondes à partir du moment de la demande.
   Note
   
   Facultativement, exécutez la commande cURL suivante pour que la valeur du jeton d'accès soit accessible au moyen d'une variable UNIX nommée AccessTokenValue dans votre environnement :

      export AccessTokenValue=`curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" | awk -F"\"" '{print $4}' |  tail -n +16`

   Vous pouvez ensuite exécuter la commande echo $AccessTokenValue pour obtenir la valeur du jeton d'accès.

   Texte entre crochets	Valeur
   base64encoded clientid:secret	Remplacez par les données d'identification encodées que vous avez générées dans la section Base64 Encoder l'ID client et la clé secrète client. Assurez-vous qu'il n'y a aucun espace dans les données d'identification clientid:clientsecret.
   IDCS_Service_Instance	Remplacer par l'URL de votre domaine d'identité (par exemple, https://<domainURL>/).

   Note
   
   La portée urn:opc:idm:__myscopes__ de la commande est utilisée en tant que marqueur par les clients du domaine d'identité demandant des jetons d'accès au serveur d'autorisations OAuth. Les jetons d'accès retournés contiennent toutes les étendues de domaines d'identité applicables en fonction des privilèges représentés par les rôles d'administrateur de domaines d'identité accordés au client demandeur et à l'utilisateur spécifié par la demande du client (le cas échéant). Cette étendue n'est octroyée directement à aucun rôle d'administrateur de domaines d'identité.

3. Copiez la valeur access_token de la réponse. Assurez-vous de copier uniquement le jeton réel, qui est la valeur access_token entre guillemets :

   Status: 200
   "access_token":"eyJ4NXQiOiI4Wk. . ."
   "token":"Bearer",
   "expires_in":3600
   

   Note
   
   La réponse inclut le paramètre expires_in: 3600. Cela signifie que votre jeton n'est plus valide après une heure à partir du moment où vous le générez. Après une heure, vous devez actualiser le jeton ou obtenir un nouveau jeton d'accès. Pour actualiser le jeton, entrez la commande cURL ci-dessous, en remplaçant le texte entre crochets ( < > ) par les valeurs appropriées :

   curl -i
     -H "Authorization: Basic <base64 encoded client ID and secret>"
     -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
     --request POST https://<domainURL>/oauth2/v1/token
     -d "grant_type=refresh_token&refresh_token=<token_value>"

Étape 4 : Faire une demande REST à l'environnement

Après avoir obtenu le jeton d'accès OAuth 2.0, vous pouvez utiliser le jeton dans une commande cURL pour envoyer une demande REST à l'API REST des domaines d'identité. La commande suivante retourne une liste d'utilisateurs dans un domaine d'identité.

   curl -X GET
   -H "Content-Type:application/scim+json"
   -H "Authorization: Bearer <access_token>"
   https://<domainURL>/admin/v1/Users