Aggiunta del supporto mTLS alle distribuzioni API

Per aggiungere un criterio di richiesta mTLS a una specifica di distribuzione API utilizzando la console, effettuare le operazioni riportate di seguito.

1. Creare o aggiornare una distribuzione API utilizzando la console, selezionare l'opzione Da zero e immettere i dettagli nella pagina Informazioni di base.

   Per ulteriori informazioni, vedere Distribuzione di un'interfaccia API in un gateway API mediante la creazione di una distribuzione API e Aggiornamento di un gateway API.

2. Nella sezione Criteri di richiesta API della pagina Informazioni di base, in Mutual-TLS selezionare l'opzione Abilita mTLs e, facoltativamente, specificare:

   • SAN (Subject Alternative Name) / Common Name: valori che devono essere visualizzati in uno o più dei seguenti campi del certificato presentato dal client API per consentire al gateway API di accettare le richieste dal client:
     • Indirizzo e-mail
     • URL
     • Nome dominio

     Ad esempio, example.com. È possibile specificare fino a 10 valori per impostazione predefinita (è possibile modificare questo limite interno). La convalida non distingue tra maiuscole e minuscole.

     È possibile includere un carattere jolly asterisco (*) all'inizio e/o alla fine di ogni valore per rappresentare zero, uno o più caratteri. Non è possibile includere un carattere jolly asterisco al centro del valore. Ad esempio:

     • *.example.com corrisponde a server.example.com
     • server.example.* corrisponde a server.example.com
     • *.example.* corrisponde a server.example.com
     • server.*.com non corrisponde a server.example.com perché il carattere jolly non può trovarsi al centro del valore

     Se si specificano valori durante l'impostazione di mTLS per una distribuzione API, il gateway API rifiuterà le richieste dei client API che presentano certificati che non li contengono. Se non si specificano valori durante l'impostazione di mTLS, il gateway API accetterà tutte le richieste dei client API che forniscono il certificato valido.

3. Selezionare Rivedi per esaminare i dettagli immessi per la distribuzione API.
4. Selezionare Crea o Salva modifiche per creare o aggiornare la distribuzione API.
5. (Facoltativo) Confermare che l'interfaccia API sia stata distribuita correttamente chiamandola (vedere Chiamata di un'interfaccia API distribuita in un gateway API).

Per aggiungere un criterio di richiesta mTLS a una specifica di distribuzione API in un file JSON, effettuare le operazioni riportate di seguito.

1. Utilizzando l'editor JSON preferito, modificare la specifica di distribuzione API esistente alla quale si desidera aggiungere il supporto mTLS o creare una nuova specifica di distribuzione API (vedere Creazione di una specifica di distribuzione API).

   Ad esempio, la seguente specifica di distribuzione API di base definisce una semplice funzione serverless Hello World nelle funzioni OCI come un singolo backend:

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. Per specificare un criterio di richiesta mTLS che si applica a livello globale a tutti gli instradamenti in una distribuzione API, effettuare le operazioni riportate di seguito.

   1. Se non esiste già, inserire una sezione requestPolicies prima della sezione routes. Ad esempio:

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. Aggiungere il seguente criterio mutualTLS alla nuova sezione requestPolicies da applicare a livello globale a tutti gli instradamenti in una distribuzione API:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      dove:

      • "isVerifiedCertificateRequired": true|false è true o false, che indica se mTLS è abilitato per la distribuzione dell'API. Se non viene specificato, il valore predefinito è false.
      • "allowedSans": [<list-of-values>] è un elenco facoltativo di valori separati da virgole che devono essere visualizzati in uno o più dei seguenti campi del certificato presentato dal client API affinché il gateway API accetti le richieste del client:
        • Indirizzo e-mail
        • URL
        • Nome dominio

        Ad esempio, example.com. È possibile specificare fino a 10 valori per impostazione predefinita (è possibile modificare questo limite interno). La convalida non distingue tra maiuscole e minuscole.

        È possibile includere un carattere jolly asterisco (*) all'inizio e/o alla fine di ogni valore per rappresentare zero, uno o più caratteri. Non è possibile includere un carattere jolly asterisco al centro del valore. Ad esempio:

        • *.example.com corrisponde a server.example.com
        • server.example.* corrisponde a server.example.com
        • *.example.* corrisponde a server.example.com
        • server.*.com non corrisponde a server.example.com perché il carattere jolly non può trovarsi al centro del valore

        Se si specificano valori durante l'impostazione di mTLS per una distribuzione API, il gateway API rifiuterà le richieste dei client API che presentano certificati che non li contengono. Se non si specificano valori durante l'impostazione di mTLS, il gateway API accetterà tutte le richieste dei client API che forniscono il certificato valido.

      Ad esempio:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. Salvare il file JSON contenente la specifica di distribuzione API.

4. Utilizzare la specifica di distribuzione API quando si crea o si aggiorna una distribuzione API nei modi riportati di seguito.

   • specificando il file JSON nella console quando si seleziona l'opzione Carica un'interfaccia API esistente
   • specificando il file JSON in una richiesta all'API REST del gateway API

   Per ulteriori informazioni, vedere Distribuzione di un'interfaccia API in un gateway API mediante la creazione di una distribuzione API e Aggiornamento di un gateway API.

5. (Facoltativo) Confermare che l'interfaccia API sia stata distribuita correttamente chiamandola (vedere Chiamata di un'interfaccia API distribuita in un gateway API).