Utilisation de OAuth 2 pour accéder à l'API REST

Etape 1 : inscription d'une application confidentielle dans des domaines d'identité à l'aide de la console

Lorsque vous inscrivez une application confidentielle dans la console du domaine d'identité, vous obtenez certains des paramètres clés dont vous avez besoin pour utiliser OAuth 2.0 : ID client, clé secrète client et portées. OAuth 2.0 est une norme pour l'implémentation de l'autorisation déléguée et l'autorisation est basée sur le jeton d'accès requis pour accéder à une ressource. Le jeton d'accès peut être émis pour une portée donnée, qui définit ce que le jeton d'accès peut faire et les ressources auxquelles il peut accéder. Lorsque vous enregistrez une application Web dans un domaine d'identité, vous ajoutez des portées. Dans l'exemple suivant, les portées requises pour demander des recherches, des modifications, des créations et des suppressions d'utilisateurs sont ajoutées. Toutefois, si vous deviez effectuer d'autres tâches, par exemple gérer les événements d'audit, cela nécessiterait d'autres portées.

Pour créer et inscrire une application confidentielle, accédez à la console OCI, puis procédez comme suit :

1. Ouvrez le menu de navigation et cliquez sur Sécurité des identités. Sous Identité, cliquez sur Domaines.
2. Cliquez sur le nom du domaine d'identité dans lequel vous souhaitez travailler. Il est possible que vous deviez changer de compartiment pour trouver le domaine souhaité. Cliquez ensuite sur Applications intégrées.
3. Cliquez sur Ajouter une application.
4. Dans la boîte de dialogue Ajouter une application, sélectionnez Application confidentielle, puis cliquez sur Lancer le workflow.
5. Sur la page Ajouter des détails d'application, entrez un nom et une description d'application, puis cliquez sur Suivant.
6. Sur la page Configurer OAuth, sous Configuration du client, sélectionnez Configurer cette application comme client maintenant.
7. Sous Autorisation, sélectionnez uniquement Informations d'identification client dans Type d'octroi autorisé.
8. Au bas de la page, sélectionnez Ajouter des rôles d'application, puis cliquez sur Ajouter des rôles.
9. Dans le panneau Ajouter des rôles d'application, sélectionnez Administrateur de domaine d'identité, puis cliquez sur Ajouter.
10. Cliquez sur Suivant puis sur Terminer.
11. Sur la page de détails de l'application, faites défiler vers le bas jusqu'à Informations générales. Copiez l'ID client et la clé secrète client, puis stockez-les dans un emplacement sécurisé.
12. Une fois l'application créée, cliquez sur Activer.

Etape 2 : Base64 encode l'ID client et la clé secrète du client

Windows

1. Lancez le Bloc-notes, puis collez l'ID client et la clé secrète du client dans le Bloc-notes.

2. Placez l'ID client et la clé secrète client sur la même ligne et insérez le signe deux-points entre eux : clientid:clientsecret

   Remarque
   
   Assurez-vous qu'aucun espace n'est l'attribut clientid:clientsecret.

3. Enregistrez le fichier dans C:\temp et nommez-le appCreds.txt.

4. Dans l'Explorateur Windows, cliquez avec le bouton droit de la souris sur C:\temp, puis sélectionnez Invite CMD ici dans le menu contextuel.

5. Saisissez la commande suivante pour encoder l'ID client et la clé secrète client :

   certutil -encode appCreds.txt appbase64Creds.txt

6. Dans le Bloc-notes, ouvrez C:\temp\appbase64Creds.txt, copiez son contenu, puis fermez le fichier.

   Remarque
   
   Pour des raisons de sécurité, supprimez les fichiers appCreds.txt et appbase64Creds.txt une fois que vous avez terminé.

Mac et Linux

1. Lancez votre utilitaire de note préféré (par exemple, Mac Notes, Gedit Linux ou Vi), puis collez l'ID client et la clé secrète client dans l'utilitaire de note.

2. Placez l'ID client et la clé secrète client sur la même ligne et insérez le signe deux-points entre eux : clientid:clientsecret.

   Remarque
   
   Assurez-vous qu'aucun espace ne figure dans clientid:clientsecret.
   instruction.

3. Copiez la ligne clientid:clientsecret.

4. Lancez un terminal et entrez la commande suivante, en remplaçant clientid:clientsecret par la valeur que vous avez copiée dans le presse-papiers.

   echo -n "clientid:clientsecret" | base64 -w 0

   Remarque
   
   Sous Linux, ajoutez -w 0 à la commande pour enlever les sauts de ligne.
5. Copiez la valeur renvoyée.

   Remarque
   
   Si la valeur renvoyée est divisée en plusieurs lignes, revenez à l'éditeur de texte et assurez-vous que l'ensemble des résultats se trouvent sur une seule ligne sans renvoi à la ligne.

Etape 3 : obtention d'un jeton d'accès

L'étape suivante de ce processus consiste à demander le jeton d'accès.

1. Lancez une invite de commande.

2. Saisissez la commande cURL ci-dessous, en remplaçant le texte entre crochets ( < > ) par les valeurs appropriées :

      curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__"

   Remarque
   
   Si vous utilisez un système d'exploitation UNIX, vous pouvez ajouter | awk -F"\"" '{print $4}' à la fin de la commande cURL pour analyser uniquement le jeton Bearer. Rappelez-vous que l'expiration par défaut du jeton est de 3600 secondes à partir de l'heure de la demande.
   Remarque
   
   Vous pouvez éventuellement exécuter la commande cURL suivante pour que la valeur du jeton d'accès soit accessible via une variable UNIX nommée AccessTokenValue dans votre environnement :

      export AccessTokenValue=`curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" | awk -F"\"" '{print $4}' |  tail -n +16`

   Vous pouvez ensuite exécuter la commande echo $AccessTokenValue pour obtenir la valeur du jeton d'accès.

   Texte entre crochets	Valeur
   base64encoded clientid:secret	Remplacez-le par les informations d'identification codées que vous avez générées dans la section Base64 Encode the client ID and client secret. Assurez-vous qu'aucun espace ne figure dans les informations d'identification clientid:clientsecret.
   IDCS_Service_Instance	Remplacer par l'URL du domaine d'identité (par exemple, https://<domainURL>/).)

   Remarque
   
   La portée urn:opc:idm:__myscopes__ de la commande est utilisée comme balise par les clients de domaine d'identité qui demandent des jetons d'accès au serveur d'autorisation OAuth. Les jetons d'accès qui contiennent toutes les portées de domaines d'identité applicables sont renvoyés en fonction des privilèges représentés par les rôles d'administrateur de domaines d'identité accordés au client demandeur et à l'utilisateur spécifié par la demande du client (le cas échéant). Cette portée n'est accordée directement à aucun rôle d'administrateur de domaines d'identité.

3. Copiez la valeur access_token à partir de la réponse. Veillez à copier uniquement le jeton réel, qui est la valeur access_token entre guillemets :

   Status: 200
   "access_token":"eyJ4NXQiOiI4Wk. . ."
   "token":"Bearer",
   "expires_in":3600
   

   Remarque
   
   La réponse inclut le paramètre expires_in: 3600. Cela signifie que votre jeton n'est plus valide après une heure à partir de l'heure à laquelle vous l'avez généré. Au bout d'une heure, vous devez actualiser le jeton ou en obtenir un nouveau.

Etape 4 : création d'une demande REST pour l'environnement

Une fois que vous avez obtenu le jeton d'accès OAuth 2.0, vous pouvez utiliser le jeton dans une commande cURL pour envoyer une demande REST à l'API REST des domaines d'identité. La commande suivante renvoie la liste des utilisateurs d'un domaine d'identité.

   curl -X GET
   -H "Content-Type:application/scim+json"
   -H "Authorization: Bearer <access_token>"
   https://<domainURL>admin/v1/Users