O Omnissa Connect usa o OAuth 2.0 para que você possa oferecer aos seus aplicativos um acesso seguro e delegado aos recursos protegidos na sua organização. O Omnissa Connect é compatível com o acesso a aplicativos da Web em que os usuários do seu aplicativo autorizam o acesso e interações de servidor para servidor, em que tokens de acesso são emitidos diretamente para seu aplicativo.
O que é o OAuth 2.0?
O OAuth 2.0 é um protocolo de autorização que permite conceder aos seus aplicativos um acesso seguro aos recursos. Seu cliente é autorizado por meio de um token de acesso. O token de acesso tem um escopo que define quais recursos o token pode acessar. Para obter informações sobre o OAuth 2.0, consulte a especificação do OAuth em https://tools.ietf.org/html/rfc6749.
Como o OAuth 2.0 funciona com o Omnissa Connect
O Omnissa Connect oferece suporte à autorização de aplicativos usando diferentes tipos de concessão.
- Credenciais do Cliente para aplicativos de servidor para servidor
- Código de Autorização para aplicativos da Web
- Cliente Público com Código de Autorização para aplicativos nativos/móveis
Políticas de violação para documentação de aplicativos do OAuth
Para obter detalhes sobre como criar políticas de violação de acesso para aplicativos do OAuth, consulte o tópico Governança.
Exemplo de aplicativo do OAuth de servidor para servidor
Digamos que você seja um Proprietário com acesso a um serviço da Omnissa. Você desenvolveu um aplicativo que o ajuda a negociar ações. Você chama o aplicativo de Trading 1.0. Você deseja executar o aplicativo em máquinas virtuais gerenciadas por outro serviço da Omnissa, mas, primeiro, você deve autorizar seu aplicativo com APIs e um script de automação, que reside onde sua organização hospeda scripts.
- Você cria um aplicativo do OAuth 2.0 no Omnissa Connect.
- Pense nesse cenário como registrar seu aplicativo Trading 1.0 (que é executado em máquinas virtuais gerenciadas pelo Omnissa) com o Omnissa Connect (o servidor de autorização).
- No Connect, você inicia a criação do aplicativo selecionando Criar Novo Aplicativo do OAuth na guia Gerenciamento de Identidade > Aplicativos do OAuth > Aplicativos de Propriedade e passando por uma série de etapas.
- No final do processo, o Omnissa Connect emite credenciais de cliente que incluem um segredo de cliente e uma ID de cliente.
- Cole essas credenciais em suas APIs no script de automação para solicitar um token de acesso do Connect.
- No Connect, dê ao seu aplicativo acesso à organização do Omnissa Connect.
- Você concede acesso adicionando o aplicativo registrado, Trading 1.0, à organização no Omnissa Connect. Esta é a etapa final do processo de adição.
- Essa adição permite que o aplicativo acesse os serviços e recursos na organização.
- Quando você executa seu aplicativo cliente Trading 1.0, ele solicita um token de acesso do servidor de autorização, que é o Omnissa Connect.
- Quando autorizado, o servidor de autorização, o Omnissa Connect, envia um token de acesso ao aplicativo cliente, e seu aplicativo cliente pode solicitar acesso aos seus recursos do Omnissa.
Quem pode criar e gerenciar aplicativos do OAuth?
Como um usuário Proprietário ou um usuário Membro com a função de Desenvolvedor (um recurso avançado de Administração e Governança de Identidade), você pode criar e gerenciar aplicativos do OAuth.
Você também pode gerenciar os aplicativos do OAuth criados ou adicionados por outros Proprietários em sua organização.
Servidor para servidor – Credenciais do Cliente
Se o seu aplicativo exigir acesso direto a outro servidor sem a autorização do usuário, crie um aplicativo de servidor para servidor no Connect. Essa opção é baseada no tipo de concessão de credenciais de cliente do OAuth 2.0. Durante esse fluxo, seu aplicativo usa suas credenciais do OAuth para recuperar um token de acesso do Omnissa Connect.
Escopo
O escopo tem uma importância especial em aplicativos de servidor para servidor. Os escopos oferecem uma maneira de implementar controles sobre quais áreas em uma organização o seu cliente pode acessar – especificamente, qual função em uma organização, quais serviços e o nível de permissões.
Como Proprietário, você pode adicionar seu aplicativo de servidor para servidor a qualquer uma das suas organizações. Portanto, embora você possa especificar uma ampla gama de acesso para seu aplicativo em muitos serviços, o acesso acaba sendo determinado pelos serviços contidos em uma organização. Você recebe uma notificação quando adiciona um aplicativo do OAuth a uma organização que não inclui os serviços incluídos no escopo do aplicativo.
Pré-requisitos
Você deve ter as permissões necessárias para adicionar e gerenciar aplicativos do OAuth na organização.
Procedimento
- Faça login no Omnissa Connect e acesse Gerenciamento de Identidade > Aplicativos do OAuth.
- Selecione a guia Aplicativos de Propriedade e selecione Criar Novo Aplicativo do OAuth.
- Selecione Aplicativo de servidor para servidor e selecione Continuar.
- Registre seu cliente inserindo um nome e uma descrição.
- Defina o valor de TTL do Token de Acesso para o novo aplicativo do OAuth.
O tempo de vida (TTL) do Token de Acesso define o período de tempo em que o token de acesso é válido.- O tempo padrão de TTL do Token de Acesso é de 30 minutos.
- O tempo máximo de TTL do Token de Acesso que você pode definir é de 300 minutos (cinco horas).
- O tempo mínimo de TTL do Token de Acesso que você pode definir é de 1 minuto.
- Definir escopos.
- Os escopos oferecem uma maneira de implementar controles sobre quais áreas em uma organização o seu cliente pode acessar – especificamente, qual função em uma organização, quais serviços e o nível de permissões.
- Selecione Criar para gerar as credenciais do cliente.
- Na janela pop-up do aplicativo do OAuth criado, copie as credenciais ou baixe um arquivo JSON e selecione Continuar.
- Você é responsável por armazenar suas credenciais em um local seguro.
- Cole as credenciais nas APIs de autenticação do aplicativo no seu script de automação ou armazene com segurança o arquivo JSON de credenciais em algum lugar onde o aplicativo possa usá-lo com segurança para recuperar o token de acesso.
- O aplicativo do cliente deve validar o token de acesso.
- Após a validação, o aplicativo agora pode solicitar o token de acesso para acessar recursos.
- (Opcional) Em Conectar, adicione o aplicativo à organização ativa.
- Essa etapa permite que o aplicativo acesse os serviços e recursos na organização do Connect.
- Você pode ignorar essa etapa e adicionar o aplicativo a essa organização e a outras organizações mais tarde.
Aplicativos da Web – Código de Autorização
Se o seu aplicativo for um aplicativo da Web normal que é executado em um servidor e exigir a autorização do usuário, crie um aplicativo da Web no Connect. Essa opção é baseada no tipo de concessão de código de autorização do OAuth 2.0.
Durante esse fluxo, os usuários autorizam seu aplicativo antes que ele acesse quaisquer recursos por meio de uma URL de solicitação de autorização que recupera um código de autorização. Seu aplicativo troca o código de autorização por um token de acesso do Connect. Com o token de acesso, o usuário por meio do aplicativo pode acessar os recursos do Omnissa. Opcionalmente, o aplicativo pode recuperar um token de atualização do Connect.
Pré-requisitos
Você deve ter as permissões necessárias para adicionar e gerenciar aplicativos do OAuth na organização.
Procedimento
- Faça login no Omnissa Connect e acesse Gerenciamento de Identidade > Aplicativos do OAuth.
- Selecione a guia Aplicativos de Propriedade e selecione Criar Novo Aplicativo do OAuth.
- Selecione Aplicativo Móvel/da Web e selecione Continuar.
- Registre seu aplicativo inserindo os detalhes do aplicativo.
- Digite um nome e uma descrição para o novo aplicativo do OAuth.
- Digite pelo menos um URI de redirecionamento.
- Depois que um usuário autorizar o cliente, o servidor de autorização redirecionará o usuário de volta ao cliente para o URI especificado com um token de acesso.
- É uma boa prática adicionar mais de um URI.
- Use o formato http://acme.com.
- Especifique um período de tempo para o token de acesso.
- A configuração padrão do tempo de vida (TTL) do Token de Acesso é de 30 minutos.
- O valor máximo que você pode definir é de 300 minutos (cinco horas).
- O valor mínimo que você pode definir é de 1 minuto.
- Se quiser que seu token de acesso autorize solicitações continuamente, marque a caixa de seleção Emitir um token de atualização e defina o valor de TTL do Token de Atualização.
- O TTL padrão do Token de Atualização é de 30 minutos.
- O valor máximo que você pode definir é de 300 minutos (cinco horas).
- O valor mínimo que você pode definir é de 1 minuto.
- Definir escopos.
- Os escopos oferecem uma maneira de implementar controles sobre quais áreas da sua organização o seu cliente pode acessar – especificamente, quais dos seus serviços e o nível de permissão.
- Marque a caixa de seleção OpenID para obter informações sobre os usuários que autorizam seu aplicativo.
- Selecione Criar para gerar as credenciais do cliente.
- Copie as credenciais ou baixe um arquivo JSON que contenha suas credenciais.
- Você é responsável por armazenar suas credenciais em um local seguro.
- Cole as credenciais do cliente do Connect nas APIs de autenticação do seu aplicativo ou armazene o arquivo JSON de credenciais em um local seguro onde o aplicativo possa usá-lo para recuperar os tokens de acesso e de atualização do Connect.
- Clique em Continuar.
Aplicativos Móveis – Cliente Público com Código de Autorização
Clientes públicos, como aplicativos nativos e móveis, não podem manter a confidencialidade de um segredo do cliente. Ao usar o OAuth 2.0 para aplicativos móveis, o Omnissa Connect gera uma ID de aplicativo e usa a Chave de Prova para Troca de Código (PKCE) para fornecer verificação adicional.
A PKCE é uma técnica para proteger clientes públicos que não usam um segredo de cliente. Para obter detalhes, consulte a Chave de Prova para Troca de Código de especificação do OAuth por Clientes Públicos do OAuth em https://datatracker.ietf.org/doc/html/rfc7636.
Durante esse fluxo, os usuários autorizam seu aplicativo antes que ele acesse quaisquer recursos por meio de uma URL de solicitação de autorização que deve incluir o ID do aplicativo gerado pelo Connect para recuperar um código de autorização. Seu aplicativo troca o código de autorização por um token de acesso do Connect. Com o token de acesso, o usuário por meio do aplicativo pode acessar os recursos do Omnissa. Opcionalmente, o aplicativo pode recuperar um token de atualização do Connect.
Pré-requisitos
Você deve ter as permissões necessárias para adicionar e gerenciar aplicativos do OAuth nesta organização.
Procedimento
- Faça login no Omnissa Connect e acesse Gerenciamento de Identidade > Aplicativos do OAuth.
- Selecione a guia Aplicativos de Propriedade e selecione Criar Novo Aplicativo do OAuth.
- Selecione Aplicativo Móvel/da Web e selecione Continuar.
- Registre seu aplicativo inserindo os detalhes do aplicativo.
- Digite um nome e uma descrição para o novo aplicativo do OAuth.
- Digite pelo menos um URI de redirecionamento.
- Depois que um usuário autorizar o cliente, o servidor de autorização redirecionará o usuário de volta ao cliente para o URI especificado com um token de acesso.
- É uma boa prática adicionar mais de um URI.
- Use o formato http://acme.com.
- Especifique um período de tempo para o token de acesso.
- A configuração padrão do tempo de vida (TTL) do Token de Acesso é de 30 minutos.
- O valor máximo que você pode definir é de 300 minutos (cinco horas).
- O valor mínimo que você pode definir é de 1 minuto.
- Se quiser que seu token de acesso autorize solicitações continuamente, selecione Emitir um token de atualização e defina o valor de TTL do Token de Atualização.
- O TTL padrão do Token de Atualização é de 30 minutos.
- O valor máximo que você pode definir é de 300 minutos (cinco horas).
- O valor mínimo que você pode definir é de 1 minuto.
- Definir escopos.
- Os escopos oferecem uma maneira de implementar controles sobre quais áreas da sua organização o seu cliente pode acessar – especificamente, quais dos seus serviços e o nível de permissão.
- Marque a caixa de seleção OpenID para obter informações sobre os usuários que autorizam seu aplicativo.
- Selecione Criar para gerar as credenciais.
- Copie o ID do aplicativo ou baixe um arquivo JSON que contenha o ID do aplicativo.
- Você é responsável por armazenar essas credenciais em um local seguro.
- Coloque o ID do aplicativo nas APIs de autenticação do seu aplicativo ou armazene o arquivo JSON do ID do aplicativo em um local seguro onde o aplicativo possa usá-lo para recuperar os tokens de acesso e de atualização do Connect.
- Clique em Continuar.
Como gerenciar aplicativos do OAuth 2.0
Como Proprietário, você cria, visualiza e modifica os detalhes dos aplicativos do OAuth na sua organização. Você também pode gerenciar os aplicativos do OAuth criados ou adicionados por outros Proprietários em sua organização. Conceda acesso a aplicativos criados em qualquer organização na qual você tenha a função de Proprietário.
| Para... | Faça isso... |
|---|---|
| Visualize os aplicativos do OAuth que têm acesso à sua organização. | - Selecione Gerenciamento de Identidade > Aplicativos do OAuth. - Na guia Aplicativos Atribuídos à Função, visualize os aplicativos criados em outras organizações com acesso à sua organização. |
| Adicione um aplicativo do OAuth criado em outra organização. | 1. Selecione Gerenciamento de Identidade > Aplicativos do OAuth e, em seguida, a guia Aplicativos Atribuídos à Função. 2. Selecione Adicionar Aplicativo do OAuth. 3. Para identificar o aplicativo do OAuth que você deseja adicionar, selecione Digitar ID do Aplicativo ou Pesquisar por Organização. 4. Clique em Continuar. 5a. Se você tiver selecionado identificar o aplicativo do OAuth usando sua ID, será solicitado a inserir a ID do aplicativo do OAuth. 5b. Se você tiver selecionado identificar o aplicativo do OAuth por meio da organização na qual ele foi criado, primeiro você será solicitado a selecionar o nome da organização no menu suspenso e, em seguida, selecionar o aplicativo do OAuth na lista de Aplicativos do OAuth disponíveis nessa organização. O menu suspenso Organização mostra apenas as organizações em que você tem acesso de Proprietário. 6. Revise os Detalhes do Aplicativo e selecione Adicionar. |
| Remova um aplicativo do OAuth criado em outra organização que tenha acesso à sua organização. | 1. Selecione Gerenciamento de Identidade > Aplicativos do OAuth e, em seguida, a guia Aplicativos Atribuídos à Função. 2. Na lista de aplicativos do OAuth exibida, selecione o aplicativo que você deseja impedir de acessar sua organização. 3. Selecione Remover. |
| Para visualizar os aplicativos criados na sua organização. | Selecione Gerenciamento de Identidade > Aplicativos do OAuth e, em seguida, a guia Aplicativos de Propriedade. Aqui você pode visualizar todos os aplicativos que foram criados na sua organização. |
| Para criar um novo aplicativo do OAuth na sua organização. | 1. Vá para Gerenciamento de Identidade > Aplicativos do OAuth e, em seguida, selecione a guia Aplicativos de Propriedade. 2. Selecione Criar Novo Aplicativo do OAuth. 3. Selecione o tipo de aplicativo que você deseja adicionar. |
| Para gerenciar os aplicativos do OAuth criados na sua organização. | Selecione Gerenciamento de Identidade > Aplicativos do OAuth e, em seguida, a guia Aplicativos de Propriedade. Selecione o aplicativo que deseja gerenciar: - Para modificar o aplicativo do OAuth, selecione Editar. Observação: se você alterar o escopo de um aplicativo, suas alterações não serão incluídas em instâncias do aplicativo localizadas em outras organizações. Para atualizar o escopo, os Proprietários devem remover o aplicativo de sua organização e adicioná-lo novamente ou editar o aplicativo para refletir o escopo atualizado. - Para remover um aplicativo, selecione Excluir. Observação: esta ação não pode ser revertida. Qualquer aplicativo que use essas credenciais de cliente não poderá mais acessar recursos protegidos e as credenciais serão invalidadas. - Você adiciona um aplicativo de servidor para servidor que foi criado na organização, mas que ainda não recebeu acesso à organização selecionando o aplicativo e selecionando Atribuir Funções. Se necessário, você modifica as funções de organização e serviço disponíveis permitidas pelo escopo do aplicativo e, em seguida, seleciona Adicionar. - Se você quiser modificar o escopo do aplicativo primeiro, selecione Editar e faça as alterações necessárias nas funções de Organização e Serviço. Quando estiver pronto, selecione Adicionar a esta Organização. Observação: os aplicativos móveis/da Web não podem ser adicionados às organizações. |
É possível regenerar um segredo de aplicativo?
Sim, como Proprietário, você pode gerar novamente o segredo do aplicativo de um aplicativo do OAuth na sua organização. Isso é útil se o Proprietário que criou o aplicativo do OAuth não estiver mais na sua empresa e você quiser continuar executando o aplicativo.
É póssivel usar uma autenticação de token de API em vez de um aplicativo do OAuth?
Sim, se uma API exigir que um usuário seja a entidade autenticada no processo de autorização, você deverá usar um token de API.
Qual é a diferença entre aplicativos do OAuth e tokens de API?
Você pode usar aplicativos do OAuth e tokens de API para interagir com as APIs do Omnissa Connect. Consulte Tokens de API para obter detalhes sobre esse recurso de Administração e Governança de Identidade no Connect.
Importante: antes de usar aplicativos do OAuth do tipo servidor para servidor para chamadas automatizadas para seus serviços, você deve primeiro consultar a documentação da API relevante.
Os tokens de API são emitidos por usuários em uma organização e estão associados à conta do usuário e à organização da qual eles geraram o token de API. Somente os usuários que criaram os tokens de API podem gerenciá-los.
Depois de criados por um usuário em uma organização, os aplicativos do OAuth atuam como entidades em interações de servidor para servidor e podem ser usados em várias organizações. O proprietário do aplicativo do OAuth é a organização na qual ele foi criado e pode ser gerenciado por usuários que são Proprietários ou Membros com uma função de Desenvolvedor. Consulte o tópico Solicitações para obter detalhes sobre o gerenciamento de solicitações de função.
Você pode usar tanto aplicativos do OAuth quanto tokens de API para automatizar processos que interagem com APIs. A diferença é que os tokens de API incorporam a conta do usuário no token de acesso, enquanto os aplicativos do OAuth realizam a autorização sem uma conta de usuário. Quando você faz a escolha de usar um token de API ou um aplicativo do OAuth para fazer uma chamada de API, deve considerar os requisitos específicos do serviço de API envolvido na interação.
Algumas APIs exigem que uma conta de usuário seja a entidade autenticada, enquanto outras não. Por exemplo, se você chamar uma API para obter informações de assinatura para sua organização no Omnissa Connect, poderá usar um aplicativo do OAuth do tipo servidor para servidor ou um token de API para fazer chamadas para o serviço de API, pois ele não exige autenticação por meio de credenciais de usuário e também aceita credenciais de cliente. Se uma API for usada pelos usuários de uma organização para atualizar suas senhas, a API exigirá que um usuário atue como a entidade de autenticação.
Esta página foi útil?