建立與管理 OAuth 用戶端

OAuth 範圍和權限

OAuth 範圍定義了授與 OAuth 用戶端應用程式的存取層級。例如，存取 Token 可以允許對資源的完整存取權，或將其限制為唯讀存取權。在 Qlik Cloud 中，範圍控制用戶端對可用功能和資源的存取。如果沒有範圍，用戶端就無法存取任何資源。

可用的 OAuth 範圍

下表列出可用的範圍及其相關權限：

建立 OAuth 用戶端

租用戶管理員在 管理 活動中心的 OAuth 頁面上管理 OAuth 用戶端。透過 OAuth 用戶端，您可以將用戶端應用程式與 Qlik Cloud 整合，以安全地存取資源。

建立 OAuth 用戶端的步驟

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。

2. 按一下 建立新項目。

3. 選取用戶端類型：

   • Web 適用於機密用戶端。

   • 單頁應用程式 或 原生 適用於公用用戶端。

   • 匿名內嵌 適用於公用用戶端。

4. 在對話方塊中，輸入 OAuth 用戶端的名稱。

5. 選擇性地新增描述。

6. 透過捲動或使用搜尋欄位選取任何可用的範圍。

   提示備註使用 全部 和 已選取 按鈕來檢視所有範圍或僅檢視已選取的範圍。

7. 輸入 OAuth 用戶端應用程式的一個或多個重新導向 URL (最多 5 個)。然後按一下 新增 將重新導向 URL 新增至允許清單。

   • 重新導向 URL 是授權伺服器在成功驗證並授與用戶端應用程式權限後，傳送使用者瀏覽器的位置。例如，https://www.exampleapp.com/oauth/callback，其中 /oauth/callback 處理來自 OAuth 提供者的驗證回呼。

   • 只有當其 URL 位於重新導向 URL 的允許清單中時，Qlik Cloud 才會在成功授權後將使用者重新導向回應用程式。

   • URL 必須以 https:// 開頭，除非網域是 localhost，在這種情況下它可以以 http:// 開頭。原生應用程式也可以使用應用程式特定的連結格式，例如 exampleapp://。

8. 對於 Web 或 單頁應用程式 用戶端類型，指定一個或多個允許的來源 (最多 5 個)。

   • 只有將 URL 新增至允許的來源清單時，才會授與對應用程式的存取權。

9. 對於用戶端類型 Web，您可以啟用下列其中一個選項，以在沒有使用者互動的情況下進行自動化系統存取：

   • 允許機器對機器 (M2M)：啟用系統對系統通訊，無需使用者參與。

   • 允許 M2M 使用者模擬：允許您的應用程式代表使用者進行驗證，在驗證過程中充當他們。

10. 對於用戶端類型 Web，在 驗證方法 下選取一個或兩個選項：

    • 用戶端密碼 (預設)

    • 私密金鑰 JWT，這是一種更安全的選項，使用公開/私密金鑰對而不是共用密碼來驗證用戶端。

      • 當您選取 私密金鑰 JWT 時，會出現 公開金鑰 欄位。以 JSON Web Key (JWK) 格式輸入第三方應用程式的公開金鑰。私密金鑰保留在您的應用程式中以簽署 JWT。如需有關公開金鑰格式的詳細資訊，請參閱 Qlik 開發人員入口網站上的 建立用於簽署 JWT 的公開/私密金鑰對。

        資訊備註公開金鑰取決於您身分識別提供者的需求。如果第三方應用程式的公開金鑰是不同的格式，請使用第三方工具將其轉換為 JWK。

11. 按一下 建立。

12. 按一下 複製到剪貼簿 以儲存用戶端 ID 和用戶端密碼供日後使用。安全地儲存用戶端密碼。

    資訊備註公用用戶端沒有用戶端密碼。

13. 按一下 完成。

特定使用案例的 OAuth 用戶端

如需 OAuth 用戶端使用案例，請參閱下列資源：

• Qlik 開發人員入口網站上的 OAuth 概觀：OAuth 使用案例和不同 OAuth 類型的概觀。

• 建立適用於 Microsoft Office 的 Qlik 增益集的 OAuth 用戶端：設定 OAuth 用戶端以安裝適用於 Microsoft Excel 的 Qlik 增益集。

• 建立用於匿名內嵌應用程式內容的 OAuth 用戶端：建立 OAuth 用戶端以啟用對內嵌應用程式內容的匿名存取。

若要使用 qlik-embed 內嵌應用程式內容以進行匿名存取，您需要建立具有專為此使用案例設計之類型的 OAuth 用戶端。

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth 區段。

2. 按一下 建立新項目。

3. 在 用戶端類型 下拉式功能表中，選取 匿名內嵌。

4. 輸入 OAuth 用戶端的 名稱，並選擇性地輸入 描述。

5. 在 允許的來源 下，輸入您需要授權的每個來源。這些是將存取 Qlik Cloud 租用戶以擷取內嵌分析資訊的網域。

   插入每個 URL 後按一下 新增。

6. 完成後，按一下 建立。

7. 按一下 複製到剪貼簿 以儲存用戶端 ID 供日後使用。當應用程式內容與 qlik-embed 內嵌時將會需要它。

8. 按一下 完成。

編輯 OAuth 用戶端

您可以重新命名 OAuth 用戶端、更新描述或管理重新導向 URL。

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。
2. 找出您要編輯的 OAuth 用戶端。
3. 按一下 ，然後選取 編輯。
4. 視需要修改 OAuth 用戶端選項。
5. 按一下 儲存。

刪除 OAuth 用戶端

當不再需要 OAuth 用戶端或要撤銷存取權時，您可以將其刪除。

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。

2. 選取一個或多個您要移除的 OAuth 用戶端，然後按一下 刪除。

3. 確認刪除。

發佈 OAuth 用戶端

OAuth 用戶端最初會繫結至建立它們的租用戶。不過，您可以將 OAuth 用戶端設定為在同一區域內的多個租用戶之間共用。這可讓第三方應用程式在不同的 Qlik Cloud 租用戶中使用相同的用戶端 ID。

應用程式擁有者可以輪替密碼並更新設定，而無需與租用戶管理員互動。租用戶管理員不需要管理認證，也不需要了解已發佈用戶端的任何設定詳細資訊。

若要允許其他租用戶連線至 OAuth 用戶端，您必須將其發佈。

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。
2. 找出您要發佈的 OAuth 用戶端。
3. 按一下用戶端旁邊的 ，然後選取 發佈。
4. 按一下 發佈 以確認。

發佈 OAuth 用戶端後，其他租用戶即可將其用於外部用途。當使用者造訪使用此 OAuth 用戶端的外部網站時，系統會提示他們輸入其租用戶主機名稱和使用者認證，除非他們已經有作用中的 SaaS 工作階段。

初始登入將需要租用戶管理員的同意。核准後，OAuth 用戶端將出現在租用戶的 管理 活動中心。

同意方法

根據預設，Qlik Cloud 會在驗證時提示使用者同意。為了簡化流程，特別是對於受信任的應用程式，您可以將同意方法設定為「受信任」，這會略過同意提示。

同意有兩個選項：

• 必要：每次 OAuth 用戶端要求新範圍時，都會提示使用者同意。此方法可確保使用者明確核准每個存取層級。

• 受信任：不會提示使用者同意。此選項僅適用於未發佈的用戶端。對於已發佈的用戶端，同意方法一律為 必要，以維持跨多個租用戶的安全性。

變更同意方法

若要變更 OAuth 用戶端的同意方法，請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。
2. 在 OAuth 用戶端上，按一下 並選取 變更同意方法。
3. 選取 必要 或 受信任，然後按一下 變更同意方法。

檢視和複製 OAuth 設定

在 管理 活動中心的 OAuth 區段中，選取 檢視 OAuth 設定 以顯示您 Qlik Cloud 租用戶的驗證詳細資訊。這將顯示包含 OAuth 端點和設定的程式碼片段，以及您可以複製以在外部應用程式中使用的 URL。

您可以使用此設定將 Qlik Cloud 與第三方應用程式整合、自動化 API 存取，或設定內嵌分析的驗證。

管理用戶端密碼

如果用戶端密碼遭到入侵，或您的安全性原則需要定期更新，您可以新增或移除密碼。為避免停機，您可以新增多個用戶端密碼 (最多 5 個)，更新您的用戶端應用程式，然後移除舊密碼。

新增用戶端密碼

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。
2. 找出 OAuth 用戶端。
3. 按一下 並選取 管理密碼。
4. 按一下 產生新的用戶端密碼。

5. 複製用戶端密碼和用戶端 ID，並安全地儲存它們。

   資訊備註您稍後將無法存取用戶端密碼。
6. 按一下 關閉。

移除用戶端密碼

請執行下列動作：

1. 在 管理 活動中心，移至 OAuth。
2. 找出 OAuth 用戶端。
3. 按一下 並選取 管理密碼。
4. 按一下用戶端密碼旁邊的 。
5. 按一下 關閉。

向 Qlik Cloud 註冊 OAuth 用戶端後，您可以建置 OAuth 用戶端應用程式以存取 Qlik Cloud 內容。在您的應用程式中使用相關聯的用戶端 ID 和用戶端密碼。

如需逐步指引，請參閱 Qlik 開發人員入口網站的 OAuth 概觀 區段中的教學課程。這些教學課程涵蓋如何使用熱門的程式設計語言建置用戶端應用程式。