Ana içeriğe atla
Bu senaryoda Swagger PetStore isimli REST mimaride oluşturulmuş bir API’ye, gönderilen JWT’nin JOSE Validation poliçesi ile kontrol edilmesi anlatılacaktır. Aşağıdaki görselde bir isteğe uygulanacak olan JOSE Validation iş akışı yer almaktadır. JOSE Validation İş Akışı

​
1) API Proxy’nin Oluşturulması

Bu senaryoda Swagger Petstore(https://petstore.swagger.io) isimli REST API kullanılacaktır. İlk olarak bu adresin API Proxy olarak tanımlanması gereklidir. Bunun için Development menüsü altında yer alan API Proxies seçeneğine tıklanır. API Proxies Menüsü Açılan sayfada daha önceden herhangi bir proxy tanımı yapılmadığı için No records found! yazısı yer alır. Burada sağ üst köşede yer almakta olan Create butonuna tıklanır ve yeni bir Api Proxy oluşturulmaya başlanır. Create Butonu Bu kısımda oluşturulacak olan API Proxy’nin hangi tipte olduğunun seçilmesi gerekmektedir. Bu senaryoda kullanılacak olan API’nin türü Swagger 2.X olacağı için bu tür seçilir. Enter URL ifadesine tıklanarak kullanılacak olan API’nin adresinin girileceği ekrana geçiş yapılır. Senaryo Diyagramı Aşağıdaki görselde de görüldüğü üzere URL kısmına erişim sağlanacak adres girilerek Parse butonuna tıklanır. URL Girme Ekranı Parse işlemi yapıldıktan sonra ise aşağıdaki görselde yer alan ekran gelmektedir. Parse Sonrası Ekran Bu ekran üzerinden API Proxy’ye ait ayarlar yapılabilmektedir. Bu ayarlar hakkında detaylı bilgi almak için API Proxy Oluşturma dokümanını ziyaret edebilirsiniz. Senaryomuzda kullanılacak olan Api Proxy’nin ayarları aşağıdaki gibidir. API Proxy Ayarları Kaydetme işleminden sonra ise açılan sayfada Develop sekmesine tıklanır. Develop Sekmesi Burada REST API’ye ait endpoint’ler listelenmektedir. All ifadesiyle tüm metodlara veya tek bir metoda JOSE Validation poliçesi eklenebilir. Endpoint'ler Listesi JOSE Validationda imza doğrulamasını yapabilmek için JSON Web Keypair Sets eklenmesi gerekmektedir.

​
2) JSON Web Keypair Sets

JSON Web Keypair Sets eklemek için sol menüden Secret Manager altından JSON Web Keypair Sets menüsüne girilir. JSON Web Keypair Sets Menüsü Açılan ekranda sağ üst köşede yer alan dikdörtgen içerisine alınmış Create butonuna tıklanır. Create Butonu Bu doküman içerisinde JSON Web Keypair Sets’in Apinizer ile veya Keycloak(3.party bir yazılım) ile üretilmesi üzerinde durulacaktır. 2.1) Apinizer Üzerinden JWK Üretilmesi: Bu senaryoda Name alanı testjwk senaryo olarak kullanılacaktır. Generate JWK seçeneği ile ve istenen algoritma kullanılarak JWK oluşturulur. Generate JWK Ekranı Generate butonu kullanılması sonucu JWK oluşturulmaktadır. Oluşan Public Key doğrulama işlemlerinde kullanılmaya hazırdır. JWK Oluşturuldu Son adım olarak Save And Deploy butonuna tıklayarak kaydedilir. 2.2) Keycloak Üzerinden JWK Üretilmesi : Keycloak üzerinden Realm Settings > Keys menüsünden Public key alanına basılarak Public key alınır. Keycloak Public Key Keycloak Public Key Detay Public key, 3.party bir araçla JWK’ya dönüştürülmelidir. Bunun için şu adres kullanılabilir: https://russelldavies.github.io/jwk-creator/ JWK’a dönüştürülen public keyi Apinizer’a Kaydetmek için;
  • Sol menüden Secret Manager menüsünün altından JSON Web Keypair Sets sayfasına gidilir.
  • Bu senaryoda Name alanı testjwk senaryo olarak kullanılacaktır.
  • Paste the content of the JWT seçeneği seçilir ve ilgili alana JWK girilir.
  • Key id alanına ise Keycloak ‘da bulunan Kid alanındaki değer girilir ve ardına Save and Deploy butonuna tıklayarak kaydedilir.
JWK Paste Ekranı

​
3) Authentication Poliçesinin Eklenmesi

Artık JOSE Validation poliçesi kullanılabilir duruma gelmiştir. API Proxy’lerin listelendiği sayfaya gidilir ve buradan Swagger Petstore isimli proxy seçilir. Daha sonra ise Develop sekmesine gelinir, Add Policy butonuna tıklanır. Açılan sayfada JOSE Validation poliçesi seçilir. JOSE Validation Poliçesi Seçimi Seçilen JOSE Validation Ayarları Bu ekran üzerinde yer alan ifadeler tek tek incelenmek istenirse JWKS Yapılandırması sayfasını ziyaret edebilirsiniz. Bu senaryo içerisinde kullanılacak olan ayarlamalar aşağıdaki görselde yer aldığı gibidir bu değişiklikleri yaptıktan sonra sağ üst köşede yer alan Save butonuna tıklanır. JOSE Validation Ayarları Detay

​
4) API Proxy’nin Test Edilmesi

Swagger Petstore isimli proxy seçilir. Develop sekmesi altında yer alan /pet/findByStatus isimli endpoint seçilir. Test Endpoint ifadesine tıklanarak bu endpoint test edilir. URL’ de istenilenstatus değeri pending olarak girilir, Send butonuna basıldığında dönen yanıtın bir hata mesajı olduğu görülür. Header içerisine Authorization header yerleştirilir ve keycloak’tan veya Apinizer’dan üretilmiş token bilgisi burada kullanılır. Send butonuna tıkladığında alınan cevap görsel üzerinde aşağıda yer alan dikdörtgen içerisindeki ifadedir. Test Endpoint Sonucu Eğer uygun olmayan token değeri kullanılırsa hata alınacaktır.