创建和管理 OAuth 客户端

OAuth 作用域和权限

OAuth 作用域定义了授予 OAuth 客户端应用程序的访问级别。例如，访问令牌可以允许完全访问资源，也可以限制为只读访问。在 Qlik Cloud 中，作用域控制客户端对可用功能和资源的访问。没有作用域，客户端就无法访问任何资源。

可用的 OAuth 作用域

下表列出了可用的作用域及其相关权限：

创建 OAuth 客户端

租户管理员在 OAuth 页面的 Administration 活动中心管理 OAuth 客户端。使用OAuth客户端，您可以将客户端应用程序与 Qlik Cloud 集成，以安全地访问资源。

创建 OAuth 客户端的步骤

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。

2. 单击新建。

3. 选择客户端类型：

   • 机密客户端的网页。

   • 单页应用程序或公共客户端的原生应用程序。

4. 在对话框中，输入 OAuth 客户端的名称。

5. 可选择添加描述。

6. 通过滚动或使用搜索字段选择任何可用范围。

   提示注释使用全部和选定按钮查看所有作用域或仅查看选定作用域。

7. 为 OAuth 客户端应用程序输入一个或多个重定向 URL（最多 5 个）。然后单击添加将重定向 URL 添加至许可名单。

   • 重定向 URL 是授权服务器在成功验证并授予客户端应用程序权限后发送用户浏览器的位置。例如，https://www.exampleapp.com/oauth/callback，其中 /oauth/callback 处理来自 OAuth 提供者的身份验证回调。

   • 只有当用户的 URL 在允许的重定向 URL 列表中时，Qlik Cloud 才会在成功授权后将用户重定向回应用程序。

   • URL 必须以 https:// 开头，除非域为 localhost，在该情况下，其可以 http:// 开头。本机应用程序还可以使用特定于应用程序的链接格式，exampleapp://。

8. 对于网页或单页应用程序客户端类型，指定一个或多个允许的来源（最多 5 个）。

   • 只有当 URL 被添加至允许的来源列表时，才会授予对应用程序的访问权限。

9. 对于网页客户端类型，您可以启用以下选项之一，实现无需用户交互的自动化系统访问：

   • 允许机器对机器 (M2M)：实现系统间通信，无需用户参与。

   • 允许 M2M 用户冒充：允许应用程序代表用户进行身份验证，在身份验证过程中扮演用户。

10. 单击创建。

11. 单击复制到剪贴板保存客户端 ID 和客户端密码，以供以后使用。安全地存储客户端密钥。

    信息注释公共客户端没有客户端密钥。

12. 单击完成。

针对特定用例的 OAuth 客户端

有关 OAuth 客户端用例，请参考以下资源：

• Qlik 开发者门户上的 OAuth 概述：OAuth 用例和不同 OAuth 类型概述。

• 为 Microsoft Excel 的 Qlik 加载项创建 OAuth 客户端：设置 OAuth 客户端，以便安装 Microsoft Excel 的 Qlik 插件。

• 为应用程序内容的匿名嵌入创建 OAuth 客户端：创建 OAuth 客户端以允许匿名访问嵌入式应用程序内容。

要使用 qlik-embed 嵌入匿名访问的应用程序内容，您需要创建一个 OAuth 客户端，其类型专门为此用例设计。

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth 部分。

2. 单击新建。

3. 在客户端类型下拉菜单中，选择匿名已嵌入。

4. 为 OAuth 客户端输入名称，并可选择输入描述。

5. 在允许的来源下，输入您需要授权的每个来源。这些域将访问 Qlik Cloud 租户，为嵌入式分析检索信息。

   插入每个 URL 后单击添加。

6. 在完成时，单击创建。

7. 单击复制到剪贴板保存客户端 ID 以供以后使用。当应用程序内容使用 qlik-embed 嵌入时，将需要它。

8. 单击完成。

编辑 OAuth 客户端

您可以重命名 OAuth 客户端、更新描述或管理重定向 URL。

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。
2. 找到要编辑的 OAuth 客户端。
3. 单击 然后选择编辑。
4. 根据需要修改 OAuth 客户端选项。
5. 单击保存。

删除 OAuth 客户端

您可以在不再需要 OAuth 客户端时删除该客户端，或者撤销访问权限。

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。

2. 选择一个或多个要删除的 OAuth 客户端，然后单击删除。

3. 确认删除。

发布 OAuth 客户端

OAuth 客户端最初绑定到创建它们的租户。但是，您可以将 OAuth 客户端配置为在同一区域内的多个租户之间共享。这使得第三方应用程序能够在不同 Qlik Cloud 租户之间使用相同的客户端ID。

应用程序所有者可以轮换秘钥并更新配置，而无需租户管理员的交互。租户管理员不需要管理凭据，也不需要知道已发布客户端的任何配置详细信息。

要允许其他租户连接到 OAuth 客户端，您必须发布它。

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。
2. 找到要发布的 OAuth 客户端。
3. 单击客户端旁边的 ，然后选择发布。
4. 单击发布以确认。

一旦 OAuth 客户端发布，它就可以供其他租户在外部使用。当用户访问使用此 OAuth 客户端的外部网站时，系统会提示他们输入租户主机名和用户凭据，除非他们已经有活动的 SaaS 会话。

首次登录需要租户管理员的同意。一旦获得批准，OAuth 客户端就会出现在租户的 Administration 活动中心。

同意方法

默认情况下，Qlik Cloud 会在验证时提示用户同意。为了简化流程，特别是对于受信任的应用程序，您可以将同意方法设置为“受信任”，由此跳过同意提示。

同意有两个选项：

• 必需：每次 OAuth 客户端请求新作用域时，都会提示用户同意。此方法确保每个访问级别都有明确的用户批准。

• 受信任：不提示用户予以同意。此选项仅适用于未发布的客户端。对于已发布的客户端，始终需要同意方法才能跨多个租户保持安全性。

更改同意方法

要更改 OAuth 客户端的同意方法，请执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。
2. 在 OAuth 客户端上，单击 并选择更改同意方法。
3. 选择需要或可信，然后单击更改同意方法。

查看和复制 OAuth 配置

在 Administration活动中心的 OAuth 部分，选择查看 OAuth 配置以显示 Qlik Cloud 租户的身份验证详细信息。这将显示一个包含 OAuth 端点和设置的代码片段，以及一个可以复制以在外部应用程序中使用的 URL。

您可以使用此配置将 Qlik Cloud 与第三方应用程序集成，自动化 API 访问，或为嵌入式分析配置身份验证。

管理客户端秘钥

如果客户端密钥被泄露，或者您的安全策略需要定期更新，您可以添加或删除密钥。为了避免停机，您可以添加多个客户端密钥（最多 5 个），更新客户端应用程序，然后删除旧密钥。

添加客户端密钥

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。
2. 找到 OAuth 客户端的位置。
3. 单击 然后选择管理秘钥。
4. 单击生成新的客户端密码。

5. 复制客户端密钥和客户端 ID，并安全地存储它们。

   信息注释稍后您将无法访问客户端密钥。
6. 单击关闭。

删除客户端密钥

执行以下操作：

1. 在 Administration 活动中心中，转到 OAuth。
2. 找到 OAuth 客户端的位置。
3. 单击 然后选择管理秘钥。
4. 单击客户端密码旁边的 。
5. 单击关闭。

构建 OAuth 客户端应用程序以访问 Qlik Cloud

在向 Qlik Cloud 注册了 OAuth 客户端之后，可以在自己的 OAuth 客户端应用程序中使用关联的客户端 ID 和客户端秘钥。

有关分步指导，请参阅 Qlik 开发者门户的 OAuth 概览部分中的教程。这些教程涵盖了如何使用流行的编程语言构建客户端应用程序。