Cvičení – použití klientských certifikátů k zabezpečení přístupu k rozhraní API

10 min

Nakonfigurujte službu API Management, aby přijímala klientské certifikáty, pomocí příchozích zásad.

Předpokládejme, že se vaše meteorologická společnost rozhodla zabezpečit své rozhraní API prostřednictvím ověřování certifikátů pro určité klienty, kteří už používají ověřování certifikátů v jiných systémech. Toto nastavení umožní těmto klientům používat existující certifikáty k ověření vůči bráně služby API Management.

V této lekci:

Vytvoření certifikátu podepsaného jeho držitelem (self-signed certificate)
Konfigurace brány na vyžadování klientských certifikátů
Získání kryptografického otisku pro certifikát
Úprava příchozích zásad, aby povolovaly pouze klienty se zadaným certifikátem v požadavku
Volání brány služby API Management a předání certifikátu pomocí curl

Poznámka:

V tomto cvičení se používají prostředky, které jste nastavili v předchozím cvičení.

Vytvoření certifikátu podepsaného svým držitelem

Nejprve pomocí Cloud Shellu vytvořte certifikát podepsaný svým držitelem, který pak použijete k ověřování mezi klientem a bránou služby API Management.

Pokud chcete vytvořit privátní klíč a certifikát, spusťte v Cloud Shellu následující příkazy.
```
pwd='<Enter a secure password here>'
pfxFilePath='selfsigncert.pfx'
openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout privateKey.key -out selfsigncert.crt -subj /CN=localhost
```
Aby byl tento příklad snadno použitelný, obsahují předchozí příkazy heslo použité k zabezpečení privátního klíče. Při každém vygenerování privátního klíče pro vlastní použití se ujistěte, že vygenerujete zabezpečené heslo a odpovídajícím způsobem k němu řídíte přístup.
Nyní převeďte certifikát do formátu PEM, který curl nástroj může použít, spuštěním těchto příkazů:
```
openssl pkcs12 -export -out $pfxFilePath -inkey privateKey.key -in selfsigncert.crt -password pass:$pwd
openssl pkcs12 -in selfsigncert.pfx -out selfsigncert.pem -nodes
```
Po zobrazení výzvy zadejte svoje zabezpečené heslo a stiskněte Enter.

Konfigurace brány na vyžadování klientských certifikátů

Vzhledem k tomu, že používáte úroveň Consumption pro SLUŽBU API Management, musíte bránu nakonfigurovat tak, aby přijímala klientské certifikáty. Postupujte podle těchto kroků.

Na webu Azure Portal, který je již otevřený, vyberte službu API Management (apim-WeatherDataNNNN).
V levém podokně nabídek v části Nasazení a infrastruktura vyberte Vlastní domény. Zobrazí se podokno Vlastní domény pro vaši službu API Management.
V části *Požadovat klientský certifikát, vyberte Ano a v horním řádku nabídek vyberte Uložit.

Získání kryptografického otisku pro certifikát

V této části nakonfigurujete službu API Management tak, aby přijímala požadavek jenom v případě, že má certifikát s určitým kryptografickým otiskem (otisk prstu). Pojďme tento kryptografický otisk získat z certifikátu.

Poznámka:

Kryptografický otisk certifikátu SSL se také označuje jako otisk certifikátu SSL.

V Cloud Shellu spusťte následující kód.

Fingerprint="$(openssl x509 -in selfsigncert.pem -noout -fingerprint)"
Fingerprint="${Fingerprint//:}"
echo ${Fingerprint#*=}

Zkopírujte úplný výstup (šestnáctkový řetězec) a vložte tuto hodnotu otisku prstu do textového souboru.

Úprava příchozích zásad, aby povolovaly pouze požadavky s platným certifikátem

Teď vytvořte zásadu ověřování v bráně služby API Management.

Na webu Azure Portal vyberte svou službu API Management. V případě potřeby v nabídce prostředků Azure nebo na domovské stránce vyberte Všechny prostředky a pak vyberte službu API Management.
V levém podokně nabídek v části Rozhraní API vyberte rozhraní API. Zobrazí se podokno rozhraní API pro vaši službu API Management.
V sekundární nabídce vyberte Data počasí.
V poli Příchozí zpracování vyberte< ikonu /> a otevřete editor kódu Zásad. Zobrazí se kód HTML pro uzel zásad.

<inbound> Nahraďte uzel souboru zásad následujícím kódem XML a nahraďte otisk prstu, který jste zkopírovali dříve pro desired-fingerprint zástupný symbol:

<inbound>
    <choose>
        <when condition="@(context.Request.Certificate == null || context.Request.Certificate.Thumbprint != "desired-fingerprint")" >
            <return-response>
                <set-status code="403" reason="Invalid client certificate" />
            </return-response>
        </when>
    </choose>
    <base />
</inbound>

Zvolte Uložit.

Volání brány a předání klientského certifikátu

Teď můžete otestovat nové zásady ověřování s certifikátem i bez certifikátu.