Tworzenie klientów OAuth i zarządzanie nimi

Zakresy i uprawnienia OAuth

Zakresy OAuth definiują poziom dostępu przyznany aplikacjom klienckim OAuth. Na przykład token dostępu może zezwalać na pełny dostęp do zasobów lub ograniczać go do dostępu tylko do odczytu. W Qlik Cloud zakresy kontrolują dostęp klienta do dostępnych funkcji i zasobów. Bez zakresów klienci nie mogą uzyskać dostępu do żadnych zasobów.

Dostępne zakresy OAuth

W tabeli wymieniono dostępne zakresy i powiązane z nimi uprawnienia:

Tworzenie klientów OAuth

Administratorzy dzierżawy zarządzają klientami OAuth w centrum aktywności Administrowanie na stronie OAuth. Za pomocą klienta OAuth można zintegrować aplikację kliencką z Qlik Cloud, aby bezpiecznie uzyskiwać dostęp do zasobów.

Kroki tworzenia klienta OAuth

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.

2. Kliknij Utwórz nowy.

3. Wybierz typ klienta:

   • Sieć Web dla klientów poufnych.

   • Aplikacja jednostronicowa lub Natywna dla klientów publicznych.

   • Osadzanie anonimowe dla klientów publicznych.

4. W oknie dialogowym wprowadź nazwę klienta OAuth.

5. Opcjonalnie dodaj opis.

6. Wybierz dowolne z dostępnych zakresów, przewijając lub używając pola wyszukiwania.

   WskazówkaUżyj przycisków Wszystkie i Wybrane , aby wyświetlić wszystkie zakresy lub tylko te wybrane.

7. Wprowadź jeden lub więcej adresów URL przekierowania dla aplikacji klienckiej OAuth (maksymalnie 5). Następnie kliknij Dodaj, aby dodać adres URL przekierowania do listy dozwolonych.

   • Adres URL przekierowania to miejsce, do którego serwer autoryzacji wysyła przeglądarkę użytkownika po pomyślnym uwierzytelnieniu i udzieleniu uprawnień aplikacji klienckiej. Na przykład https://www.exampleapp.com/oauth/callback, gdzie /oauth/callback obsługuje wywołania zwrotne uwierzytelniania od dostawcy OAuth.

   • Qlik Cloud przekieruje użytkownika z powrotem do aplikacji po pomyślnej autoryzacji tylko wtedy, gdy jej adres URL znajduje się na liście dozwolonych adresów URL przekierowania.

   • Adresy URL muszą zaczynać się od https://, chyba że domeną jest localhost, w którym to przypadku mogą zaczynać się od http://. Aplikacje natywne mogą również używać formatu łącza specyficznego dla aplikacji, na przykład exampleapp://.

8. W przypadku typów klientów Sieć Web lub Aplikacja jednostronicowa określ jedno lub więcej dozwolonych źródeł (maksymalnie 5).

   • Dostęp do aplikacji zostanie przyznany tylko wtedy, gdy adres URL zostanie dodany do listy dozwolonych źródeł.

9. W przypadku typu klienta Sieć Web można włączyć jedną z następujących opcji zautomatyzowanego dostępu do systemu bez interakcji użytkownika:

   • Zezwalaj na komunikację maszyna-maszyna (M2M): umożliwia komunikację między systemami bez udziału użytkownika.

   • Zezwalaj na podszywanie się pod użytkownika M2M: umożliwia aplikacji uwierzytelnianie w imieniu użytkowników, działając jako oni podczas procesu uwierzytelniania.

10. W przypadku typu klienta Sieć Web wybierz jedną lub obie opcje w sekcji Metoda uwierzytelniania:

    • Klucz tajny klienta (domyślnie)

    • Klucz prywatny JWT, bezpieczniejsza opcja, która uwierzytelnia klienta przy użyciu pary kluczy publiczny/prywatny zamiast wspólnego klucza tajnego.

      • Po wybraniu opcji Klucz prywatny JWT pojawi się pole Klucz publiczny. Wprowadź klucz publiczny aplikacji innej firmy w formacie JSON Web Key (JWK). Klucz prywatny pozostaje w aplikacji do podpisywania tokenów JWT. Więcej informacji na temat formatu klucza publicznego można znaleźć w sekcji Create a public/private key pair for signing JWTs w portalu Qlik Developer Portal.

        InformacjaKlucz publiczny zależy od wymagań dostawcy tożsamości. Jeśli klucz publiczny aplikacji innej firmy ma inny format, użyj narzędzia innej firmy, aby przekonwertować go na format JWK.

11. Kliknij Utwórz.

12. Kliknij Kopiuj do schowka, aby zapisać identyfikator klienta i klucz tajny klienta do późniejszego wykorzystania. Przechowuj klucz tajny klienta w bezpiecznym miejscu.

    InformacjaKlienci publiczni nie mają klucza tajnego klienta.

13. Kliknij Gotowe.

Klienci OAuth dla określonych przypadków użycia

Informacje na temat przypadków użycia klienta OAuth można znaleźć w następujących zasobach:

• OAuth Overview w portalu Qlik Developer Portal: przegląd przypadków użycia OAuth i różnych typów OAuth.

• Tworzenie klientów OAuth dla dodatków Qlik dla pakietu Microsoft Office: skonfiguruj klienta OAuth do instalacji dodatku Qlik dla programu Microsoft Excel.

• Tworzenie klienta OAuth dla anonimowych osadzeń zawartości aplikacji: utwórz klienta OAuth, aby umożliwić dostęp anonimowy do osadzonej zawartości aplikacji.

Aby osadzić zawartość aplikacji w celu uzyskania dostępu anonimowego za pomocą qlik-embed, należy utworzyć klienta OAuth o typie specjalnie zaprojektowanym dla tego przypadku użycia.

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do sekcji OAuth.

2. Kliknij Utwórz nowy.

3. W menu rozwijanym Typ klienta wybierz Osadzanie anonimowe.

4. Wprowadź Nazwę i opcjonalnie Opis klienta OAuth.

5. W sekcji Dozwolone źródła wprowadź każde źródło, które chcesz autoryzować. Są to domeny, które będą uzyskiwać dostęp do dzierżawy Qlik Cloud w celu pobrania informacji dla osadzonej analityki.

   Kliknij Dodaj po wstawieniu każdego adresu URL.

6. Po zakończeniu kliknij Utwórz.

7. Kliknij Kopiuj do schowka, aby zapisać identyfikator klienta do późniejszego wykorzystania. Będzie on potrzebny, gdy zawartość aplikacji zostanie osadzona za pomocą qlik-embed.

8. Kliknij Gotowe.

Edytowanie klientów OAuth

Możesz zmienić nazwę klienta OAuth, zaktualizować opis lub zarządzać adresami URL przekierowania.

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.
2. Znajdź klienta OAuth, którego chcesz edytować.
3. Kliknij , a następnie wybierz Edytuj.
4. Zmodyfikuj opcje klienta OAuth zgodnie z wymaganiami.
5. Kliknij Zapisz.

Usuwanie klientów OAuth

Możesz usunąć klienta OAuth, gdy nie jest już potrzebny lub w celu cofnięcia dostępu.

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.

2. Wybierz jednego lub więcej klientów OAuth, których chcesz usunąć, a następnie kliknij Usuń.

3. Potwierdź usunięcie.

Publikowanie klientów OAuth

Klienci OAuth są początkowo powiązani z dzierżawą, która ich utworzyła. Można jednak skonfigurować klienta OAuth tak, aby był udostępniany wielu dzierżawom w tym samym regionie. Umożliwia to aplikacjom innych firm korzystanie z tego samego identyfikatora klienta w różnych dzierżawach Qlik Cloud.

Właściciele aplikacji mogą rotować klucze tajne i aktualizować konfigurację bez interakcji ze strony administratora dzierżawy. Administratorzy dzierżawy nie muszą zarządzać poświadczeniami ani znać żadnych szczegółów konfiguracji opublikowanego klienta.

Aby umożliwić innym dzierżawom łączenie się z klientem OAuth, należy go opublikować.

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.
2. Znajdź klienta OAuth, którego chcesz opublikować.
3. Kliknij obok klienta i wybierz Opublikuj.
4. Kliknij Opublikuj, aby potwierdzić.

Po opublikowaniu klienta OAuth staje się on dostępny do użytku zewnętrznego przez inne dzierżawy. Gdy użytkownik odwiedzi zewnętrzną witrynę internetową korzystającą z tego klienta OAuth, zostanie poproszony o wprowadzenie nazwy hosta dzierżawy i poświadczeń użytkownika, chyba że ma już aktywną sesję SaaS.

Początkowe logowanie będzie wymagało zgody administratora dzierżawy. Po zatwierdzeniu klient OAuth pojawi się w centrum aktywności Administrowanie dzierżawy.

Metody wyrażania zgody

Domyślnie Qlik Cloud prosi użytkowników o zgodę podczas uwierzytelniania. Aby usprawnić ten proces, zwłaszcza w przypadku zaufanych aplikacji, można ustawić metodę wyrażania zgody na „Zaufane”, co powoduje pominięcie monitu o zgodę.

Istnieją dwie opcje wyrażania zgody:

• Wymagane: użytkownik jest proszony o zgodę za każdym razem, gdy klient OAuth żąda nowego zakresu. Ta metoda zapewnia wyraźną zgodę użytkownika na każdy poziom dostępu.

• Zaufane: użytkownik nie jest proszony o zgodę. Ta opcja jest dostępna tylko dla nieopublikowanych klientów. W przypadku opublikowanych klientów metoda wyrażania zgody to zawsze Wymagane w celu utrzymania bezpieczeństwa w wielu dzierżawach.

Zmiana metody wyrażania zgody

Aby zmienić metodę wyrażania zgody dla klienta OAuth, wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.
2. Na kliencie OAuth kliknij i wybierz Zmień metodę wyrażania zgody.
3. Wybierz Wymagane lub Zaufane, a następnie kliknij Zmień metodę wyrażania zgody.

Wyświetlanie i kopiowanie konfiguracji OAuth

W sekcji OAuth centrum aktywności Administrowanie wybierz Wyświetl konfigurację OAuth, aby wyświetlić szczegóły uwierzytelniania dla dzierżawy Qlik Cloud. Spowoduje to wyświetlenie fragmentu kodu z punktami końcowymi i ustawieniami OAuth, a także adresu URL, który można skopiować do użytku w aplikacjach zewnętrznych.

Możesz użyć tej konfiguracji do zintegrowania Qlik Cloud z aplikacjami innych firm, zautomatyzowania dostępu do API lub skonfigurowania uwierzytelniania dla osadzonej analityki.

Zarządzanie kluczami tajnymi klienta

Jeśli klucz tajny klienta zostanie naruszony lub zasady bezpieczeństwa wymagają okresowych aktualizacji, można dodawać lub usuwać klucze tajne. Aby uniknąć przestojów, można dodać wiele kluczy tajnych klienta (maksymalnie 5), zaktualizować aplikację kliencką, a następnie usunąć stary klucz tajny.

Dodawanie klucza tajnego klienta

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.
2. Znajdź klienta OAuth.
3. Kliknij i wybierz Zarządzaj kluczami tajnymi.
4. Kliknij Wygeneruj nowy klucz tajny klienta.

5. Skopiuj klucz tajny klienta i identyfikator klienta, a następnie przechowuj je w bezpiecznym miejscu.

   InformacjaPóźniej nie będzie można uzyskać dostępu do klucza tajnego klienta.
6. Kliknij Zamknij.

Usuwanie klucza tajnego klienta

Wykonaj następujące czynności:

1. W centrum aktywności Administrowanie przejdź do OAuth.
2. Znajdź klienta OAuth.
3. Kliknij i wybierz Zarządzaj kluczami tajnymi.
4. Kliknij obok klucza tajnego klienta.
5. Kliknij Zamknij.

Po zarejestrowaniu klienta OAuth w Qlik Cloud można tworzyć aplikacje klienckie OAuth w celu uzyskiwania dostępu do zawartości Qlik Cloud. Użyj powiązanego identyfikatora klienta i klucza tajnego klienta w swojej aplikacji.

Wskazówki krok po kroku można znaleźć w samouczkach w sekcji OAuth Overview w portalu Qlik Developer Portal. Samouczki te opisują sposób tworzenia aplikacji klienckich przy użyciu popularnych języków programowania.