Ajout de la prise en charge de mTLS aux déploiements d'API

Pour ajouter une stratégie de demande mTLS à une spécification de déploiement d'API à l'aide de la console, procédez comme suit :

1. Créez ou mettez à jour un déploiement d'API à l'aide de la console, sélectionnez l'option Entièrement nouveau, puis saisissez les détails sur la page Informations de base.

   Pour plus d'informations, reportez-vous à Déploiement d'une API sur une passerelle d'API en créant un déploiement d'API et à Mise à jour d'une passerelle d'API.

2. Dans la section Stratégies de demande d'API de la page Informations de base, sous Mutual-TLS, sélectionnez l'option Activer mTLs et indiquez éventuellement les éléments suivants :

   • Autre nom d'objet (SAN) / nom commun : valeurs qui doivent apparaître dans un ou plusieurs des champs suivants du certificat présenté par le client d'API pour que la passerelle d'API accepte les demandes du client :
     • Adresse électronique
     • URL
     • Nom de domaine

     Par exemple, example.com. Vous pouvez indiquer jusqu'à 10 valeurs par défaut (vous pouvez modifier cette limite interne). La validation ne tient pas compte de la casse.

     Vous pouvez inclure un caractère générique astérisque (*) au début et/ou à la fin de chaque valeur, pour représenter zéro, un ou plusieurs caractères. Vous ne pouvez pas inclure un caractère générique astérisque au milieu de la valeur. Par exemple :

     • *.example.com correspond à server.example.com
     • server.example.* correspond à server.example.com
     • *.example.* correspond à server.example.com
     • server.*.com ne correspond pas à server.example.com car le caractère générique ne peut pas se trouver au milieu de la valeur

     Si vous indiquez des valeurs lors de la configuration de mTLS pour un déploiement d'API, la passerelle d'API rejettera les demandes des clients d'API présentant des certificats qui ne les contiennent pas. Si vous n'indiquez aucune valeur lors de la configuration de mTLS, la passerelle d'API acceptera toutes les demandes des clients d'API indiquant que le certificat est valide.

3. Sélectionnez Vérifier afin de vérifier les détails saisis pour le déploiement d'API.
4. Sélectionnez Créer ou Enregistrer les modifications pour créer ou mettre à jour le déploiement d'API.
5. (Facultatif) Vérifiez que l'API a été déployée en l'appelant (reportez-vous à Appel d'une API déployée sur une passerelle d'API).

Pour ajouter une stratégie de demande mTLS à une spécification de déploiement d'API dans un fichier JSON, procédez comme suit :

1. A l'aide de l'éditeur JSON de votre choix, modifiez la spécification de déploiement d'API existante à laquelle vous voulez ajouter la prise en charge mTLS ou créez une spécification de déploiement d'API (reportez-vous à Création d'une spécification de déploiement d'API).

   Par exemple, la spécification de déploiement d'API de base suivante définit une fonction simple sans serveur Hello World dans OCI Functions en tant que back-end unique :

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. Pour indiquer une stratégie de demande mTLS qui s'applique de façon globale à tous les routages d'un déploiement d'API, procédez comme suit :

   1. Insérez une section requestPolicies avant la section routes, si elle n'existe pas déjà. Par exemple :

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. Ajoutez la stratégie mutualTLS suivante à la nouvelle section requestPolicies pour l'appliquer de façon globale à tous les routages dans un déploiement API :

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      où :

      • "isVerifiedCertificateRequired": true|false est true ou false, ce qui indique si mTLS est activé pour le déploiement d'API. Si cette valeur n'est pas renseignée, la valeur par défaut est false.
      • "allowedSans": [<list-of-values>] est une liste facultative de valeurs séparées par des virgules qui doit apparaître dans les champs suivants du certificat présenté par le client d'API pour que la passerelle d'API accepte les demandes du client :
        • Adresse électronique
        • URL
        • Nom de domaine

        Par exemple, example.com. Vous pouvez indiquer jusqu'à 10 valeurs par défaut (vous pouvez modifier cette limite interne). La validation ne tient pas compte de la casse.

        Vous pouvez inclure un caractère générique astérisque (*) au début et/ou à la fin de chaque valeur, pour représenter zéro, un ou plusieurs caractères. Vous ne pouvez pas inclure un caractère générique astérisque au milieu de la valeur. Par exemple :

        • *.example.com correspond à server.example.com
        • server.example.* correspond à server.example.com
        • *.example.* correspond à server.example.com
        • server.*.com ne correspond pas à server.example.com car le caractère générique ne peut pas se trouver au milieu de la valeur

        Si vous indiquez des valeurs lors de la configuration de mTLS pour un déploiement d'API, la passerelle d'API rejettera les demandes des clients d'API présentant des certificats qui ne les contiennent pas. Si vous n'indiquez aucune valeur lors de la configuration de mTLS, la passerelle d'API acceptera toutes les demandes des clients d'API indiquant que le certificat est valide.

      Par exemple :

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. Enregistrez le fichier JSON qui contient la spécification de déploiement d'API.

4. Utilisez la spécification de déploiement d'API lorsque vous créez ou mettez à jour un déploiement d'API en :

   • spécifiant le fichier JSON dans la console lorsque vous sélectionnez l'option Télécharger une API existante,
   • spécifiant le fichier JSON dans une demande adressée à l'API REST d'API Gateway.

   Pour plus d'informations, reportez-vous à Déploiement d'une API sur une passerelle d'API en créant un déploiement d'API et à Mise à jour d'une passerelle d'API.

5. (Facultatif) Vérifiez que l'API a été déployée en l'appelant (reportez-vous à Appel d'une API déployée sur une passerelle d'API).