Akses aman ke portal pengembang API Management

BERLAKU UNTUK: Pengembang | Dasar | Dasar v2 | Standar | Standar v2 | Premium | Premium v2

API Management memiliki portal pengembang terkelola yang dapat disesuaikan sepenuhnya, mandiri, yang dapat digunakan secara eksternal (atau internal) untuk memungkinkan pengguna pengembang menemukan dan berinteraksi dengan API yang diterbitkan melalui API Management. Portal pengembang memiliki beberapa opsi untuk memfasilitasi pendaftaran dan masuk pengguna yang aman.

Catatan

Secara default, portal pengembang memungkinkan akses anonim. Pengaturan default ini berarti siapa pun dapat melihat portal dan konten seperti API tanpa masuk, meskipun fungsionalitas seperti menggunakan konsol pengujian dibatasi. Anda dapat mengaktifkan pengaturan yang mengharuskan pengguna masuk untuk melihat portal pengembang. Di portal Azure, di menu sebelah kiri instans API Management Anda, di bawah Portal pengembang, pilih Pengaturan Identitas>. Di bawah Pengguna anonim, pilih (aktifkan) Alihkan pengguna anonim ke halaman masuk.

Opsi autentikasi

• Pengguna eksternal - Untuk mengaktifkan akses ke portal pengembang untuk pengguna eksternal, gunakan penyedia identitas eksternal yang diaktifkan melalui ID Eksternal Microsoft Entra.

  • Misalnya, Anda ingin pengguna mengakses portal pengembang dengan menggunakan akun media sosial yang ada.
  • Layanan ini menyediakan fitur untuk mengaktifkan pengalaman pendaftaran dan masuk pengguna akhir.

  Saat ini, API Management mendukung penyedia identitas eksternal ketika Anda mengonfigurasinya di penyewa tenaga kerja Microsoft Entra ID Anda, bukan di penyewa eksternal. Untuk informasi selengkapnya, lihat Cara mengotorisasi akun pengembang dengan menggunakan ID Eksternal Microsoft Entra.

  Catatan

  API Management menyediakan dukungan warisan untuk Azure Active Directory B2C sebagai penyedia identitas eksternal. Namun, kami sarankan Anda menggunakan MICROSOFT Entra External ID sebagai penyedia identitas eksternal alih-alih Azure Active Directory B2C untuk penyebaran baru portal pengembang API Management.

  Penting

  Berlaku mulai 1 Mei 2025, Azure AD B2C tidak akan lagi tersedia untuk dibeli untuk pelanggan baru. Pelajari lebih lanjut di FAQ kami.

• Pengguna internal - Untuk mengaktifkan akses ke portal pengembang untuk pengguna internal, gunakan penyewa ID Microsoft Entra perusahaan (tenaga kerja) Anda. MICROSOFT Entra ID memberikan pengalaman akses menyeluruh (SSO) yang mulus bagi pengguna perusahaan yang perlu mengakses dan menemukan API melalui portal pengembang.

  Untuk langkah-langkah mengaktifkan autentikasi Microsoft Entra di portal pengembang, lihat Cara mengotorisasi akun pengembang dengan menggunakan ID Microsoft Entra di Azure API Management.

• Autentikasi dasar - Gunakan nama pengguna dan penyedia kata sandi portal pengembang bawaan. Opsi ini memungkinkan pengembang untuk mendaftar langsung di API Management dan masuk dengan menggunakan akun pengguna API Management. Pendaftaran pengguna melalui opsi ini dilindungi oleh layanan CAPTCHA.

  Perhatian

  Meskipun Anda dapat menggunakan autentikasi dasar untuk mengamankan akses pengguna ke portal pengembang, sebaiknya konfigurasikan metode autentikasi yang lebih aman seperti ID Microsoft Entra.

Konsol pengujian portal pengembang

Selain menyediakan konfigurasi bagi pengguna pengembang untuk mendaftar akses dan masuk, portal pengembang menyertakan konsol pengujian tempat pengembang dapat mengirim permintaan pengujian melalui API Management ke API backend. Fasilitas pengujian ini juga tersedia untuk pengguna yang berkontribusi dari API Management yang mengelola layanan menggunakan portal Microsoft Azure.

Jika Anda mengamankan API yang diekspos melalui Azure API Management dengan OAuth 2.0 - yaitu, aplikasi panggilan (pembawa) perlu mendapatkan dan meneruskan token akses yang valid - Anda dapat mengonfigurasi API Management untuk menghasilkan token yang valid atas nama portal Microsoft Azure atau pengguna konsol pengujian portal pengembang. Untuk informasi selengkapnya, lihat Cara mengotorisasi konsol pengujian portal pengembang dengan mengonfigurasi otorisasi pengguna OAuth 2.0.

Untuk mengaktifkan konsol pengujian guna memperoleh token OAuth 2.0 yang valid untuk pengujian API:

1. Tambahkan server otorisasi pengguna OAuth 2.0 ke instans Anda. Anda dapat menggunakan penyedia OAuth 2.0 apa pun, termasuk ID Microsoft Entra, ID Eksternal Microsoft Entra, atau IdP pihak ketiga.

2. Konfigurasikan API dengan pengaturan untuk server otorisasi tersebut. Di portal, konfigurasikan otorisasi OAuth 2.0 pada halaman Pengaturan API Otorisasi Pengguna Keamanan>.>

   

Konfigurasi OAuth 2.0 ini untuk pengujian API tidak bergantung pada konfigurasi yang diperlukan untuk akses pengguna ke portal pengembang. Namun, penyedia identitas dan pengguna bisa sama. Misalnya, aplikasi intranet dapat memerlukan akses pengguna ke portal pengembang dengan menggunakan SSO dengan identitas perusahaan mereka. Identitas perusahaan yang sama dapat memperoleh token, melalui konsol pengujian, untuk layanan backend yang dipanggil dengan konteks pengguna yang sama.

Skenario

Opsi autentikasi dan otorisasi yang berbeda berlaku untuk skenario yang berbeda. Bagian berikut mengeksplorasi konfigurasi tingkat tinggi untuk tiga skenario contoh. Anda perlu mengambil lebih banyak langkah untuk sepenuhnya mengamankan dan mengonfigurasi API yang diekspos melalui API Management. Namun, skenario sengaja berfokus pada konfigurasi minimum yang direkomendasikan dalam setiap kasus untuk memberikan autentikasi dan otorisasi yang diperlukan.

Skenario 1 - API dan aplikasi Intranet

• Kontributor API Management dan pengembang API backend ingin menerbitkan API yang diamankan oleh OAuth 2.0.
• API digunakan oleh aplikasi desktop yang penggunanya masuk dengan menggunakan SSO melalui ID Microsoft Entra.
• Pengembang aplikasi desktop perlu menemukan dan menguji API melalui portal pengembang API Management.

Konfigurasi Kunci:

Konfigurasi	Referensi
Otorisasi pengguna pengembang portal pengembang API Management dengan menggunakan identitas perusahaan dan ID Microsoft Entra mereka.	Otorisasi akun pengembang menggunakan Microsoft Entra ID di Azure API Management
Siapkan konsol pengujian di portal pengembang untuk mendapatkan token OAuth 2.0 yang valid bagi pengembang aplikasi desktop untuk menjalankan API backend. Konfigurasi yang sama dapat digunakan untuk konsol pengujian di portal Azure, yang dapat diakses oleh kontributor API Management dan pengembang backend. Token dapat digunakan dalam kombinasi dengan kunci langganan API Management.	Cara mengotorisasi konsol pengujian portal pengembang dengan mengonfigurasi otorisasi pengguna OAuth 2.0 Langganan di API Management Azure
Validasi token OAuth 2.0 dan klaim saat API dipanggil melalui API Management dengan token akses.	Memvalidasi kebijakan JWT

Melangkah lebih jauh dengan skenario ini dengan memindahkan API Management ke perimeter jaringan dan mengontrol ingress melalui proksi terbalik. Untuk arsitektur referensi, lihat Melindungi API dengan Application Gateway dan API Management.

Skenario 2 - External API, aplikasi mitra

• Kontributor API Management dan pengembang API backend ingin dengan cepat membuat bukti konsep untuk mengekspos API warisan melalui Azure API Management. API melalui API Management ditujukan untuk akses eksternal (internet).
• API menggunakan autentikasi sertifikat klien dan digunakan oleh aplikasi satu halaman (SPA) baru yang tersedia untuk publik yang dikembangkan di luar negeri oleh mitra.
• SPA menggunakan OAuth 2.0 dengan OpenID Connect (OIDC).
• Pengembang aplikasi mengakses API di lingkungan pengujian melalui portal pengembang, menggunakan titik akhir backend pengujian untuk mempercepat pengembangan frontend.

Konfigurasi Kunci:

Konfigurasi	Referensi
Konfigurasikan akses pengembang frontend ke portal pengembang dengan menggunakan autentikasi nama pengguna dan kata sandi default. Pengembang juga dapat diundang ke portal pengembang.	Mengonfigurasi pengguna portal pengembang untuk mengautentikasi menggunakan nama pengguna dan kata sandi Cara mengelola akun pengguna di API Management Azure
Validasi token OAuth 2.0 dan klaim saat SPA memanggil API Management dengan token akses. Dalam hal ini, audiens API Management.	Memvalidasi kebijakan JWT
Siapkan API Management untuk menggunakan autentikasi sertifikat klien ke backend.	Mengamankan layanan backend menggunakan autentikasi sertifikat klien di Azure API Management

Untuk mengambil skenario ini lebih lanjut, gunakan portal pengembang dengan otorisasi Microsoft Entra dan kolaborasi Microsoft Entra B2B untuk memungkinkan mitra pengiriman berkolaborasi lebih erat. Pertimbangkan untuk mendelegasikan akses ke API Management melalui RBAC dalam lingkungan pengembangan atau pengujian dan aktifkan SSO ke portal pengembang dengan menggunakan kredensial perusahaan mereka sendiri.

Skenario 3 - API Eksternal, SaaS, terbuka untuk umum

• Kontributor API Management dan pengembang API backend menulis beberapa API baru yang dapat digunakan pengembang komunitas.

• API tersedia untuk umum, tetapi fungsionalitas penuh dilindungi di belakang paywall dan diamankan dengan menggunakan OAuth 2.0. Setelah membeli lisensi, pengembang mendapatkan kredensial klien dan kunci langganan mereka sendiri yang valid untuk penggunaan produksi.

• Pengembang komunitas eksternal menemukan API dengan menggunakan portal pengembang. Pengembang mendaftar dan masuk ke portal pengembang dengan menggunakan akun media sosial mereka.

• Pengguna portal pengembang yang tertarik dengan kunci langganan pengujian dapat menjelajahi fungsionalitas API dalam konteks pengujian, tanpa perlu membeli lisensi. Konsol pengujian portal pengembang mewakili aplikasi panggilan dan menghasilkan token akses default ke API backend.

  Perhatian

  Perawatan ekstra diperlukan saat menggunakan alur kredensial klien dengan konsol pengujian portal pengembang. Lihat Pertimbangan keamanan.

Konfigurasi Kunci:

Konfigurasi	Referensi
Siapkan produk di Azure API Management untuk mewakili kombinasi API yang Anda ekspos ke pengembang komunitas. Siapkan langganan untuk memungkinkan pengembang menggunakan API.	Tutorial: Membuat dan menerbitkan produk Langganan di API Management Azure
Konfigurasikan akses pengembang komunitas ke portal pengembang menggunakan MICROSOFT Entra External ID. ID Eksternal Microsoft Entra kemudian dapat dikonfigurasi untuk bekerja dengan satu atau beberapa idP media sosial hilir.	Cara mengotorisasi akun pengembang dengan menggunakan MICROSOFT Entra External ID di Azure API Management
Siapkan konsol pengujian di portal pengembang untuk mendapatkan token OAuth 2.0 yang valid ke API backend dengan menggunakan alur kredensial klien.	Cara mengotorisasi konsol pengujian portal pengembang dengan mengonfigurasi otorisasi pengguna OAuth 2.0 Sesuaikan langkah-langkah konfigurasi yang ditunjukkan dalam artikel ini untuk menggunakan alur pemberian kredensial klien alih-alih alur pemberian kode otorisasi.

Melangkah lebih jauh dengan mendelegasikan pendaftaran pengguna atau langganan produk dan memperpanjang proses dengan logika Anda sendiri.

Konten terkait

• Pelajari selengkapnya tentang autentikasi dan otorisasi di platform identitas Microsoft.
• Pelajari cara mengurangi ancaman keamanan API OWASP dengan menggunakan API Management.