Uso de OAuth 2 para acceder a la API de REST

Paso 1: Registro de una aplicación confidencial en dominios de identidad mediante la consola

Al registrar una aplicación confidencial en la consola del dominio de identidad, obtiene algunos de los parámetros clave que necesita para trabajar con OAuth 2.0: ID de cliente, secreto de cliente y ámbitos. OAuth 2.0 es un estándar para implantar la autorización delegada y la autorización se basa en el token de acceso necesario para acceder a un recurso. El token de acceso se puede emitir para un ámbito determinado, que define qué puede hacer el token de acceso y a qué recursos puede acceder. Al registrar una aplicación web en un dominio de identidad, agrega ámbitos. En el siguiente ejemplo, se agregan los ámbitos necesarios para solicitar búsquedas, ediciones, creación y supresiones de usuarios. Sin embargo, si tuviera que hacer otras cosas, por ejemplo, gestionar eventos de auditoría, eso requeriría otros ámbitos.

Para crear y registrar una aplicación confidencial, acceda a la consola de OCI y, a continuación, realice los siguientes pasos:

1. Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Dominios.
2. Haga clic en el nombre del dominio de identidad en el que desea trabajar. Puede que necesite cambiar el compartimento para buscar el dominio que desee. A continuación, haga clic en Aplicaciones integradas.
3. Haga clic en Agregar aplicación.
4. En el cuadro de diálogo Agregar aplicación, seleccione Aplicación confidencial y, a continuación, haga clic en Iniciar flujo de trabajo.
5. En la página Agregar detalles de aplicación, introduzca un nombre de aplicación y una descripción y, a continuación, haga clic en Siguiente.
6. En la página Configure OAuth, en Configuración del cliente, seleccione Configure esta aplicación como un cliente ahora.
7. En Autorización, seleccione solo Credenciales de cliente como Tipo de permiso permitido.
8. En la parte inferior de la página, seleccione Agregar roles de aplicaciones y, a continuación, haga clic en Agregar roles.
9. En el panel Agregar roles de aplicación, seleccione Administrador de dominio de identidad y, a continuación, haga clic en Agregar.
10. Haga clic en Siguiente y, a continuación, en Terminar.
11. En la página de detalles de la aplicación, desplácese hacia abajo hasta Información general. Copie el ID de cliente y el Secreto de cliente y almacénelo en un lugar seguro.
12. Una vez creada la aplicación, haga clic en Activar.

Paso 2: Base64 Codifique el ID de cliente y el secreto de cliente

Windows

1. Inicie el Bloc de notas y, a continuación, pegue el ID de cliente y el secreto de cliente en el Bloc de notas.

2. Coloque el ID de cliente y el secreto de cliente en la misma línea e inserte dos puntos entre ellos: clientid:clientsecret

   Nota
   
   Asegúrese de que no haya espacios en el atributo clientid:clientsecret.

3. Guarde el archivo en C:\temp y asígnele el nombre appCreds.txt.

4. En el Explorador de Windows, haga clic con el botón derecho en C:\temp y, a continuación, seleccione Petición de datos de CMD aquí en el menú contextual.

5. Introduzca el siguiente comando para codificar el ID de cliente y el secreto de cliente:

   certutil -encode appCreds.txt appbase64Creds.txt

6. En el Bloc de notas, abra C:\temp\appbase64Creds.txt, copie su contenido y, a continuación, cierre el archivo.

   Nota
   
   Por motivos de seguridad, suprima los archivos appCreds.txt y appbase64Creds.txt después de terminar.

Mac y Linux

1. Inicie la utilidad de nota preferida (por ejemplo, Notas de Mac, Gedit Linux o Vi) y, a continuación, pegue el ID de cliente y el secreto de cliente en la utilidad de nota.

2. Coloque el ID de cliente y el secreto de cliente en la misma línea e inserte dos puntos entre ellos: clientid:clientsecret.

   Nota
   
   Asegúrese de que no haya espacios en clientid:clientsecret.
   sentencia.

3. Copie la línea clientid:clientsecret.

4. Inicie un terminal e introduzca el siguiente comando, sustituyendo clientid:clientsecret por el valor que copió en el portapapeles.

   echo -n "clientid:clientsecret" | base64 -w 0

   Nota
   
   Para Linux, agregue -w 0 al comando para eliminar saltos de línea.
5. Copie el valor que se devuelve.

   Nota
   
   Si el valor que se devuelve está dividido en más de una línea, vuelva al editor de texto y asegúrese de que todos los resultados estén en una sola línea sin ajuste de texto.

Paso 3: Obtener un token de acceso

El siguiente paso en este proceso es solicitar el token de acceso.

1. Inicie un símbolo del sistema.

2. Escriba el siguiente comando de cURL, sustituyendo el texto entre corchetes ( < > ) por los valores adecuados:

      curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__"

   Nota
   
   Si utiliza un sistema operativo UNIX, puede agregar | awk -F"\"" '{print $4}' al final del comando cURL para analizar solo el token Bearer. Solo recuerde que la caducidad predeterminada del token es de 3600 segundos desde el momento de la solicitud.
   Nota
   
   Opcionalmente, ejecute el siguiente comando cURL para que se pueda acceder al valor del token de acceso mediante una variable UNIX denominada AccessTokenValue en el entorno:

      export AccessTokenValue=`curl -i
      -H "Authorization: Basic <base64encoded clientid:secret>"
      -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8"
      --request POST https://<domainURL>/oauth2/v1/token
      -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" | awk -F"\"" '{print $4}' |  tail -n +16`

   A continuación, puede ejecutar el comando echo $AccessTokenValue para obtener el valor del token de acceso.

   Texto entre corchetes	Valor
   base64encoded ID de clien: secreto	Reemplace por las credenciales codificadas que generó en la sección Base64: codifique el ID de cliente y el secreto de cliente. Asegúrese de que no haya espacios en las credenciales clientid:clientsecret.
   IDCS_Service_Instance	Reemplazar por la URL del dominio de identidad (por ejemplo, https://<domainURL>/).)

   Nota
   
   El ámbito urn:opc:idm:__myscopes__ del comando lo utilizan como etiqueta los clientes del dominio de identidad que solicitan tokens de acceso desde el servidor de autorización OAuth. Se devuelven tokens de acceso que contienen todos los ámbitos de dominios de identidad aplicables en función de los privilegios representados por los roles de administrador de dominios de identidad otorgados al cliente solicitante y al usuario especificado por la solicitud del cliente (si está presente). Este ámbito no se otorga directamente a ningún rol de administrador de dominios de identidad.

3. Copie el valor access_token de la respuesta. Asegúrese de copiar solo el token real, que es el valor access_token entre comillas:

   Status: 200
   "access_token":"eyJ4NXQiOiI4Wk. . ."
   "token":"Bearer",
   "expires_in":3600
   

   Nota
   
   La respuesta incluye el parámetro expires_in: 3600. Esto significa que su token ya no es válido después de una hora desde el momento en que lo genera. Después de una hora, debe refrescar el token u obtener un nuevo token de acceso.

Paso 4: Realizar una solicitud REST al entorno

Después de obtener el token de acceso OAuth 2.0, puede utilizar el token en un comando cURL para enviar una solicitud REST a la API de REST de los dominios de identidad. El siguiente comando devuelve una lista de usuarios en un dominio de identidad.

   curl -X GET
   -H "Content-Type:application/scim+json"
   -H "Authorization: Bearer <access_token>"
   https://<domainURL>admin/v1/Users