REST サービスの保護

REST アプリケーションおよび OAuth 2.0

OAuth 2.0 を使用して REST アプリケーションを認証するには、以下の作業をすべて行います。

• REST アプリケーションを含むリソース・サーバを、OAuth 2.0 リソース・サーバとして構成します。

• %Service.CSP の代行認証を許可します。

• 代行認証を使用するように Web アプリケーション (REST アプリケーション用) が構成されていることを確認します。

• %SYS ネームスペースで ZAUTHENTICATE という名前のルーチンを作成します。インターシステムズが提供するサンプル・ルーチン REST.ZAUTHENTICATE.mac をコピーして変更することができます。このルーチンは GitHub の Samples-Security サンプルに含まれています (https://github.com/intersystems/Samples-SecurityOpens in a new tab)。“InterSystems IRIS で使用するサンプルのダウンロード” で説明されているようにサンプル全体をダウンロードすることもできますが、単に GitHub でルーチンを開いて、その内容をコピーするほうが簡単です。

  ルーチンで、applicationName の値を変更し、必要に応じてその他の変更を加えます。

"OAuth 2.0 および OpenID Connect の使用法" の “OAuth 2.0 クライアントとしての InterSystems IRIS Web アプリケーションの使用法” の章の “Web クライアントの代行認証の定義 (オプション)” も参照してください。

特権の指定

REST サービス全体について特権のリストを指定することも、エンドポイントごとに特権のリストを指定することもできます。そのためには、以下のように操作します。

1. サービスにアクセスするために必要な特権を指定するには、仕様クラス内の OpenAPI XData ブロックを編集します。info オブジェクトについて、x-ISC_RequiredResource という名前の新しいプロパティを追加します。このプロパティの値は、REST サービスのすべてのエンドポイントへのアクセスに必要となる、定義したリソースとそのアクセス・モード (resource:mode) のコンマ区切りリストです。

   以下に例を示します。

     "swagger":"2.0",
     "info":{
       "version":"1.0.0",
       "title":"Swagger Petstore",
       "description":"A sample API that uses a petstore as an example to demonstrate features in the swagger-2.0 specification",
       "termsOfService":"http://swagger.io/terms/",
       "x-ISC_RequiredResource":["resource1:read","resource2:read","resource3:read"],
       "contact":{
         "name":"Swagger API Team"
       },
   ...
   

   

2. 特定のエンドポイントにアクセスするために必要な特権を指定するには、以下の例のように、そのエンドポイントを定義する操作オブジェクトに x-ISC_RequiredResource プロパティを追加します。

         "post":{
           "description":"Creates a new pet in the store.  Duplicates are allowed",
           "operationId":"addPet",
           "x-ISC_RequiredResource":["resource1:read","resource2:read","resource3:read"],
           "produces":[
             "application/json"
           ],
           ...
   
   

   

3. 仕様クラスをコンパイルします。このアクションによって、ディスパッチ・クラスが再生成されます。

SECURITYRESOURCE パラメータの使用

追加の承認ツールとして、%CSP.RESTOpens in a new tab のサブクラスであるディスパッチ・クラスには SECURITYRESOURCE パラメータがあります。SECURITYRESOURCE の値は、リソースとその許可であるか、リソースのみです (この場合、関連する許可は Use です)。SECURITYRESOURCE に関連付けられたリソースに対する必要な許可をユーザが持っているかどうかがチェックされます。