OAuth-clients maken en beheren

OAuth-scopes en -machtigingen

OAuth-scopes definiëren het toegangsniveau dat wordt verleend aan OAuth-clientapplicaties. Een toegangstoken kan bijvoorbeeld volledige toegang tot bronnen toestaan of deze beperken tot alleen-lezen toegang. In Qlik Cloud bepalen scopes de toegang van de client tot beschikbare functionaliteit en bronnen. Zonder scopes hebben clients geen toegang tot bronnen.

Beschikbare OAuth-scopes

De tabel toont de beschikbare scopes en de bijbehorende machtigingen:

OAuth-clients maken

Tenantbeheerders beheren OAuth-clients in het Beheer-activiteitencentrum op de OAuth-pagina. Met een OAuth-client kunt u uw clientapplicatie integreren met Qlik Cloud om veilig toegang te krijgen tot bronnen.

Stappen om een OAuth-client te maken

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.

2. Klik op Nieuwe maken.

3. Selecteer een clienttype:

   • Web voor vertrouwelijke clients.

   • Single-page app of Native voor openbare clients.

   • Anoniem insluiten voor openbare clients.

4. Voer in het dialoogvenster een naam in voor de OAuth-client.

5. Voeg optioneel een beschrijving toe.

6. Selecteer een van de beschikbare scopes door te scrollen of het zoekveld te gebruiken.

   TipGebruik de knoppen Alle en Geselecteerd om alle scopes of alleen de geselecteerde scopes te bekijken.

7. Voer een of meer omleidings-URL's in voor de OAuth-clientapplicatie (maximaal 5). Klik vervolgens op Toevoegen om de omleidings-URL toe te voegen aan de toelatingslijst.

   • De omleidings-URL is de locatie waarnaar de autorisatieserver de browser van de gebruiker stuurt na succesvolle authenticatie en het verlenen van toestemming aan de clientapplicatie. Bijvoorbeeld https://www.exampleapp.com/oauth/callback, waarbij /oauth/callback authenticatie-callbacks van de OAuth-provider afhandelt.

   • Qlik Cloud zal de gebruiker na een succesvolle autorisatie alleen terugsturen naar de applicatie als de URL ervan in de toelatingslijst van omleidings-URL's staat.

   • URL's moeten beginnen met https:// tenzij het domein localhost is, in welk geval het kan beginnen met http://. Native applicaties kunnen ook de applicatiespecifieke koppelingsindeling gebruiken, bijvoorbeeld exampleapp://.

8. Geef voor de clienttypen Web of Single-page app een of meer toegestane oorsprongen op (maximaal 5).

   • Toegang tot de applicatie wordt alleen verleend als de URL is toegevoegd aan de lijst met toegestane oorsprongen.

9. Voor het clienttype Web kunt u een van de volgende opties inschakelen voor geautomatiseerde systeemtoegang zonder gebruikersinteractie:

   • Machine-to-Machine (M2M) toestaan: Maakt systeem-naar-systeemcommunicatie mogelijk zonder tussenkomst van de gebruiker.

   • M2M-gebruikersimitatie toestaan: Stelt uw applicatie in staat om zich namens gebruikers te authenticeren en als hen op te treden tijdens het authenticatieproces.

10. Selecteer voor het clienttype Web een of beide opties onder Authenticatiemethode:

    • Clientgeheim (standaard)

    • Privésleutel JWT, een veiligere optie die de client authenticeert met behulp van een openbaar/privé-sleutelpaar in plaats van een gedeeld geheim.

      • Wanneer u Privésleutel JWT selecteert, verschijnt het veld Openbare sleutel. Voer de openbare sleutel van uw applicatie van derden in de JSON Web Key (JWK)-indeling in. De privésleutel blijft bij uw applicatie om JWT's te ondertekenen. Zie voor meer informatie over de indeling van de openbare sleutel Create a public/private key pair for signing JWTs op de Qlik Developer Portal.

        InformatieDe openbare sleutel is afhankelijk van de vereisten van uw identiteitsprovider. Als de openbare sleutel van uw applicatie van derden een andere indeling heeft, gebruik dan een tool van derden om deze naar JWK te converteren.

11. Klik op Maken.

12. Klik op Kopiëren naar klembord om de client-ID en het clientgeheim op te slaan voor later gebruik. Bewaar het clientgeheim veilig.

    InformatieOpenbare clients hebben geen clientgeheim.

13. Klik op Gereed.

OAuth-clients voor specifieke use cases

Raadpleeg de volgende bronnen voor use cases van OAuth-clients:

• OAuth Overview op de Qlik Developer Portal: Overzicht van OAuth-use cases en de verschillende OAuth-typen.

• OAuth-clients maken voor Qlik-invoegtoepassingen voor Microsoft Office: Stel een OAuth-client in voor de installatie van de Qlik-invoegtoepassing voor Microsoft Excel.

• Een OAuth-client maken voor anonieme insluitingen van applicatie-inhoud: Maak een OAuth-client om anonieme toegang tot ingesloten applicatie-inhoud mogelijk te maken.

Om applicatie-inhoud in te sluiten voor anonieme toegang met behulp van qlik-embed, moet u een OAuth-client maken met een type dat speciaal is ontworpen voor deze use case.

Doe het volgende:

1. Ga in het Beheer activiteitencentrum naar de OAuth-sectie.

2. Klik op Nieuwe maken.

3. Selecteer in het vervolgkeuzemenu Clienttype de optie Anoniem insluiten.

4. Voer een Naam en optioneel een Beschrijving in voor de OAuth-client.

5. Voer onder Toegestane oorsprongen elke oorsprong in die u moet autoriseren. Dit zijn de domeinen die toegang krijgen tot de Qlik Cloud-tenant om de informatie voor de ingesloten analyses op te halen.

   Klik op Toevoegen na het invoegen van elke URL.

6. Wanneer u klaar bent, klikt u op Maken.

7. Klik op Kopiëren naar klembord om de client-ID op te slaan voor later gebruik. Deze is nodig wanneer de applicatie-inhoud is ingesloten met qlik-embed.

8. Klik op Gereed.

OAuth-clients bewerken

U kunt de naam van een OAuth-client wijzigen, de beschrijving bijwerken of de omleidings-URL's beheren.

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.
2. Zoek de OAuth-client die u wilt bewerken.
3. Klik op en selecteer vervolgens Bewerken.
4. Wijzig de opties van de OAuth-client naar wens.
5. Klik op Opslaan.

OAuth-clients verwijderen

U kunt een OAuth-client verwijderen wanneer deze niet langer nodig is of om de toegang in te trekken.

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.

2. Selecteer een of meer OAuth-clients die u wilt verwijderen en klik vervolgens op Verwijderen.

3. Bevestig de verwijdering.

OAuth-clients publiceren

OAuth-clients zijn in eerste instantie gebonden aan de tenant die ze heeft gemaakt. U kunt een OAuth-client echter zo configureren dat deze wordt gedeeld over meerdere tenants binnen dezelfde regio. Hierdoor kunnen applicaties van derden dezelfde client-ID gebruiken in verschillende Qlik Cloud-tenants.

Applicatie-eigenaren kunnen geheimen roteren en de configuratie bijwerken zonder tussenkomst van een tenantbeheerder. Tenantbeheerders hoeven geen inloggegevens te beheren of op de hoogte te zijn van configuratiedetails voor de gepubliceerde client.

Om andere tenants in staat te stellen verbinding te maken met een OAuth-client, moet u deze publiceren.

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.
2. Zoek de OAuth-client die u wilt publiceren.
3. Klik op naast de client en selecteer Publiceren.
4. Klik op Publiceren om te bevestigen.

Zodra de OAuth-client is gepubliceerd, komt deze beschikbaar voor extern gebruik door andere tenants. Wanneer een gebruiker een externe website bezoekt die deze OAuth-client gebruikt, wordt hem gevraagd zijn tenant-hostnaam en gebruikersgegevens in te voeren, tenzij hij al een actieve SaaS-sessie heeft.

Voor de eerste aanmelding is toestemming van een tenantbeheerder vereist. Na goedkeuring verschijnt de OAuth-client in het Beheer-activiteitencentrum van de tenant.

Toestemmingsmethoden

Standaard vraagt Qlik Cloud gebruikers om toestemming bij het authenticeren. Om het proces te stroomlijnen, vooral voor vertrouwde applicaties, kunt u de toestemmingsmethode instellen op "Vertrouwd", waardoor de toestemmingsprompt wordt overgeslagen.

Er zijn twee opties voor toestemming:

• Vereist: De gebruiker wordt om toestemming gevraagd telkens wanneer een nieuwe scope wordt aangevraagd door de OAuth-client. Deze methode zorgt voor expliciete goedkeuring van de gebruiker voor elk toegangsniveau.

• Vertrouwd: De gebruiker wordt niet om toestemming gevraagd. Deze optie is alleen beschikbaar voor niet-gepubliceerde clients. Voor gepubliceerde clients is de toestemmingsmethode altijd Vereist om de beveiliging over meerdere tenants te handhaven.

De toestemmingsmethode wijzigen

Doe het volgende om de toestemmingsmethode voor een OAuth-client te wijzigen:

1. Ga in het Beheer-activiteitencentrum naar OAuth.
2. Klik op de OAuth-client op en selecteer Toestemmingsmethode wijzigen.
3. Selecteer Vereist of Vertrouwd en klik vervolgens op Toestemmingsmethode wijzigen.

De OAuth-configuratie bekijken en kopiëren

Selecteer in de OAuth-sectie van het Beheer-activiteitencentrum OAuth-configuratie bekijken om authenticatiedetails voor uw Qlik Cloud-tenant weer te geven. Dit toont een stukje code met OAuth-eindpunten en -instellingen, evenals een URL die u kunt kopiëren voor gebruik in externe applicaties.

U kunt deze configuratie gebruiken om Qlik Cloud te integreren met applicaties van derden, API-toegang te automatiseren of authenticatie te configureren voor ingesloten analyses.

Clientgeheimen beheren

Als een clientgeheim is gecompromitteerd of uw beveiligingsbeleid periodieke updates vereist, kunt u geheimen toevoegen of verwijderen. Om downtime te voorkomen, kunt u meerdere clientgeheimen toevoegen (maximaal 5), uw clientapplicatie bijwerken en vervolgens het oude geheim verwijderen.

Een clientgeheim toevoegen

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.
2. Zoek de OAuth-client.
3. Klik op en selecteer Geheimen beheren.
4. Klik op Een nieuw clientgeheim genereren.

5. Kopieer het clientgeheim en de client-ID en bewaar ze veilig.

   InformatieU zult later geen toegang meer hebben tot het clientgeheim.
6. Klik op Sluiten.

Een clientgeheim verwijderen

Doe het volgende:

1. Ga in het Beheer-activiteitencentrum naar OAuth.
2. Zoek de OAuth-client.
3. Klik op en selecteer Geheimen beheren.
4. Klik op naast het clientgeheim.
5. Klik op Sluiten.

Na het registreren van een OAuth-client bij Qlik Cloud, kunt u OAuth-clientapplicaties bouwen om toegang te krijgen tot Qlik Cloud-inhoud. Gebruik de bijbehorende client-ID en het clientgeheim in uw applicatie.

Zie voor stapsgewijze begeleiding de tutorials in de OAuth Overview-sectie van de Qlik Developer Portal. Deze tutorials behandelen hoe u clientapplicaties kunt bouwen met behulp van populaire programmeertalen.