Adicionando suporte mTLS a Implantações de API

Para adicionar uma política de solicitação mTLS a uma especificação de implantação de API usando a Console:

1. Crie ou atualize uma implantação de API usando a Console. Selecione a opção Totalmente Nova e insira os detalhes na página Informações Básicas.

   Para obter mais informações, consulte Implantando uma API em um Gateway de API por meio da Criação de uma Implantação de API e Atualizando um Gateway de API.

2. Na seção Políticas de Solicitação de API da página Informações Básicas, em TLS Mútuo, selecione a opção Ativar mTLs e especifique opcionalmente:

   • Nome Alternativo do Assunto (SAN) / Nome Comum: Valores que devem aparecer em um ou mais dos seguintes campos do certificado apresentado pelo cliente de API para que o gateway de API aceite solicitações do cliente:
     • Endereço de E-mail
     • URL
     • Nome do Domínio

     Por exemplo, example.com. Você pode especificar até 10 valores por padrão (você pode alterar esse limite interno). A validação não faz distinção entre maiúsculas e minúsculas.

     Você pode incluir um curinga asterisco (*) no início e/ou no final de cada valor para representar zero, um ou mais caracteres. Não é possível incluir um curinga de asterisco no meio do valor. Por exemplo:

     • *.example.com corresponde a server.example.com
     • server.example.* corresponde a server.example.com
     • *.example.* corresponde a server.example.com
     • server.*.com não corresponde a server.example.com porque o curinga não pode estar no meio do valor

     Se você especificar valores ao configurar mTLS para uma implantação de API, o gateway de API rejeitará solicitações de clientes de API que apresentem certificados que não os contenham. Se você não especificar valores ao configurar mTLS, o gateway de API aceitará todas as solicitações de clientes de API que fornecem o certificado será válido.

3. Selecione Revisar para revisar os detalhes informados para a implantação de API.
4. Selecione Criar ou Salvar Alterações para criar ou atualizar a implantação de API.
5. (Opcional) Confirme se a API foi implantada com êxito, chamando-a (consulte Chamando uma API Implantada em um Gateway de API).

Para adicionar uma política de solicitação mTLS a uma especificação de implantação de API em um arquivo JSON:

1. Usando seu editor JSON preferido, edite a especificação de implantação de API existente à qual você deseja adicionar suporte mTLS ou crie uma nova especificação de implantação de API (consulte Criando uma Especificação de Implantação de API).

   Por exemplo, a seguinte especificação básica de implantação de API define uma função simples sem servidor Hello World no OCI Functions como um único back-end:

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. Para especificar uma política de solicitação mTLS que se aplique globalmente a todas as rotas em uma implantação de API:

   1. Insira uma seção requestPolicies antes da seção routes, se ainda não existir uma. Por exemplo:

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. Adicione a seguinte política mutualTLS à nova seção requestPolicies para aplicar globalmente a todas as rotas em uma implantação de API:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      em que:

      • "isVerifiedCertificateRequired": true|false, é true ou false, indicando se o mTLS está ativado para a implantação de API. Se não for especificado, o valor padrão será false.
      • "allowedSans": [<list-of-values>] é uma lista opcional de valores separados por vírgulas que deve aparecer em um ou mais dos seguintes campos do certificado apresentado pelo cliente de API para que o gateway de API aceite solicitações do cliente:
        • Endereço de E-mail
        • URL
        • Nome do Domínio

        Por exemplo, example.com. Você pode especificar até 10 valores por padrão (você pode alterar esse limite interno). A validação não faz distinção entre maiúsculas e minúsculas.

        Você pode incluir um curinga asterisco (*) no início e/ou no final de cada valor para representar zero, um ou mais caracteres. Não é possível incluir um curinga de asterisco no meio do valor. Por exemplo:

        • *.example.com corresponde a server.example.com
        • server.example.* corresponde a server.example.com
        • *.example.* corresponde a server.example.com
        • server.*.com não corresponde a server.example.com porque o curinga não pode estar no meio do valor

        Se você especificar valores ao configurar mTLS para uma implantação de API, o gateway de API rejeitará solicitações de clientes de API que apresentem certificados que não os contenham. Se você não especificar valores ao configurar mTLS, o gateway de API aceitará todas as solicitações de clientes de API que fornecem o certificado será válido.

      Por exemplo:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. Salve o arquivo JSON que contém a especificação de implantação de API.

4. Use a especificação de implantação de API ao criar ou atualizar uma implantação de API das seguintes formas:

   • especificando o arquivo JSON na Console quando você selecionar a opção Carregar uma API existente
   • especificando o arquivo JSON em uma solicitação à API REST do serviço API Gateway

   Para obter mais informações, consulte Implantando uma API em um Gateway de API por meio da Criação de uma Implantação de API e Atualizando um Gateway de API.

5. (Opcional) Confirme se a API foi implantada com êxito, chamando-a (consulte Chamando uma API Implantada em um Gateway de API).