WSO2 APIマネージャーによる認証

Question

APIサーバー（バックエンド）、クライアントWebサイト、およびエンドユーザーの3つのレイヤーを含むシステムがあります。ここで、認証はAPIサーバー上で行われます。これは2つのケースで行われます。クライアントWebサイトは、ユーザー/パスに基づいてサービスから取得するトークン（クライアントトークン）を使用してクライアントWebサイトAPIを直接呼び出します。また、クライアントWebサイトを使用してAPIサーバーにエンドユーザーがログインする以外に、APIサーバーで認証が発生しましたクライアントWebサイト以外。クライアントサイトは、（エンドユーザコールのための）認証トークンとして名付けられた別のトークンを取得し、次に、2つのトークンを送信することによってエンドユーザが要求したAPIをコールする。クライアントと認証トークンを使用して、APIサーバーはクライアントとエンドユーザーがそれぞれログインしているかどうかをチェックします。エンティティとその関係が示されていますin here

APIサーバーとクライアントサイトの間のゲートウェイとしてAPIマネージャを使用して、そのプロセスで認証プロセスを管理したいと考えています。 WSO2 API Mangerを使用してこのシナリオを実装するにはどうすればよいですか？あなたのお返事ありがとう！

Answer 1

前の回答の拡張..

は（adviced）、APIのmaangerは、クライアントを渡すことができます/ユーザー/アプリケーション情報をJWTトークンとしてバックエンドに送信します。 1つのシナリオのコメント

クライアントのウェブサイトへのユーザーのログインに基づいて拡張答え、それがAPIにユーザーに &パスを渡す：だから確かに、それは

編集API Managerを使用するために良いユースケースですサーバ。したがって、APIサーバーはU &の有効性をチェックします。P

実際には、既定のOAuth（コードまたはパスワードプロファイル）を使用すると有効になります。

また、Authトークンを作成すると、ユーザー用のセッションが作成されます。

ほぼ良好です。トークンが返され、APIマネージャにユーザーセッションはありません。すべての権限は、提供されたトークンに基づいています。

of session、クライアントWebサイトとエンドユーザ がログインしているかどうか。 2つのトークンによって実行されるチェックプロセス

いいえ。 APIMはセッションを確認しません。 OAuth（ベアラ）トークンのみをチェックします。

と直接別のシナリオクライアントのウェブサイトコールAPIで、このシナリオの認証トークンuser.in端から任意の の要求なし（アプリケーション、それを呼び出すことができます）

ウェブサイトを存在していない使用して認証することができます自身の証明書（いわゆるclient_credentialsプロファイル）。独自のOAuthアプリケーショントークンを受け取ることがあります。

Answer 2

同じ機能がAPIMでサポートされています。バックエンドから認証ログインを取り除く（または単純なものに置き換える）だけで、APIM認証を使用することができます。

APIMはOAuth2を使用します。あなたの要件を満たすために、異なる助成金の種類を使用することができます。クライアントのWebサイトでは、クライアント資格情報の認可タイプを使用でき、エンド・ユーザーの場合は、パスワードや認可コードなどの他の認可タイプを使用できます。詳細については

を読む：バックエンドがAPIマネージャの背後にある場合

https://docs.wso2.com/display/AM210/Quick+Start+Guide https://docs.wso2.com/display/AM210/Token+API