OAuth2 per autorizzare accesso a Rest/API interne ed esterne

Introduzione

Quello che si vuole ottenere è l'uso dell'autenticazione OAuth2 per validare le richieste interne ad una web app a microservizi e le richieste da parte di uno o più di questi microservizi verso servizi API esterni, nello specifico l'uso della posta di Google.

OAuth è uno standard che le applicazioni, i dispositivi, le API e i server possono usare per ottenere un "accesso delegato sicuro" basato su token anziché sulle credenziali.

Il meccanismo è lo stesso che consente l'autenticazione mediante account di terzi.

Dettagli

OAuth2

Lo standard OAuth2 prevede un meccanismo di autenticazione basato su "client-id" e "clientr-secret". Lo standard NON prevede autenticazioni stateless o stateful, non prevede specifici meccanismo di token (JWT o altro) ecc.

Per ogni dubbio futuro qui c'è l'RFC-6749 che lo definisce. 

OpenID

OpenID è un layer sopra OAuth2 che consente di verificare l'identità di un utente in base all'autenticazione eseguita da un server di autorizzazione. OpenID consente ai client (web, mobili, Javascript) di richiedere e ricevere informazioni su sessioni autenticate (consentendo un approccio stateful) e utenti. OpenID consente il discovery di provider OpenID, la gestione delle sessioni e la crittografia dei dati di identità.

Flusso OAuth2

(1) il client web "prova" ad invocare un servizio Rest/API direttamente o indirettamente ad un gateway

(2) il gateway gira la richiesta al servizio specifico

(3) il servizio risponde che l'end-poin puntato è protetto

(4) il gateway chiede l'autenticazione al server di autenticazione OAuth2

(5) il server OAuth2 invia al client web la pagina di login

(6) l'utente si autentica con le proprie credenziali al servizio OAuth2, questo verifica se è necessaria una conferma all'invio al servizio dei dati dell'utente

(7) il server OAuth2 chiede questa conferma all'utente

(8) l'utente accetta la conferma

(9) il server OAuth2 invia un "authorization code" al gateway

(10) il gateway chiede un token allegando l'authorization code

(11) il server OAuth2 risponde con il token

(12) il gateway inoltra la richiesta iniziale al servizio Rest/API questa volta con il token

(13) il servizio Rest/API chiede la verifica della firma del token al server OAuth2

(14) il server OAuth2 convalida la firma

(15) il servizio Rest/API risponde inviando la risorsa al gateway

(16) il gateway invia la risposta al client

Validazione esterna

Quello che ora si vuole ottenere è che una applicazione web si autentichi verso le API di Google per poter usare i servizi di questa, come ad esempio l'invio mail.

Questa pratica viene detta, da Google, autenticazione "OAuth da server a server". Il diagramma è il seguente:

Per poter eseguire questo meccanismo è necessario:

1) Creare un account di servizio su Google

2) Generare un Token Web Json (JWT)

3) Richiedere un token di accesso a Google

4) Usare questo token per fare le chiamate allo specifico servizio API di Google che si intende utilizzare.

1) Creare un account di servizio su Google

Puntare la pagina per i servizi di Google. Selezionare un progetto o crearne uno nuovo.

Selezionare la voce "+ CREA ACCOUNT DI SERVIZIO" e nella scheda di dettaglio inserisci un nome per l'account di servizio, un ID e una descrizione e dopo cliccare su "Crea".

Nella fase successiva si può specificare, facoltativamente, se assegnare un ruolo nel progetto allo specifico account di servizio che si sta creando, lasciamolo vuoto.

Cliccando su fine si ottiene la generazione di questo account di servizio che verrà rappresentato un una griglia con tutti gli altri eventualmente generati:

2) Ceazione di una chiave privata

Cliccando sui tre puntini verticali, che ho evidenziato in giallo nella figura precedente, si deve selezionare la voce dal menu "Crea chiave", scegliere il formato JSON. Si otterrà il download di una chiave in formato JSON che avrà questo contenuto:

L'elemento che ci interessa è "private_key_id", quella è la chiave privata che ci serve per firmare il JWT.

3) Abilitare il servizio

Tornare al menu generale e selezionare "API e servizi" > "Dashboard" e poi, dalla voce di menu superiore "+ABILITA API E SERVIZI":

Si aprirà un "catalogo" di API, selezionare quella desiderata, nel mio caso "Gmail API" e selezionare "Abilita".

Si viene portati in un menù contestuale nel quale nella voce "Credenziali" è elencata la chiave che abbiamo creato con l'account di servizio prima:

Cliccando sulla voce "Attiva" in alto a destra si attiva il servizio che è riservato agli account G Suite.

Fonte: https://www.soliantconsulting.com/blog/google-oauth-2-service-account/

Quest'opera è distribuita con Licenza Creative Commons Attribuzione - Condividi allo stesso modo 4.0 Internazionale