Generieren von Zugriffs-Token für Server-seitige APIs generating-access-tokens-for-server-side-apis

Einige Architekturen erfordern Aufrufe an Adobe Experience Manager (AEM) as a Cloud Service von einer Anwendung, die auf einem Server außerhalb der AEM-Infrastruktur gehostet wird. Beispielsweise ruft eine Mobile App einen Server auf, der dann API-Anfragen an AEM as a Cloud Service sendet.

Verwenden Sie die AEM as a Cloud Service Developer Console, um ein technisches OAuth-Server-zu-Server-Konto zu erstellen. Ihre Anwendung tauscht ihre Client-ID und ihr Client-Geheimnis mithilfe der Adobe Identity Management Services (IMS)-client_credentials gegen ein Zugriffstoken aus. Es ist kein signiertes JWT, kein privater Schlüssel oder Zertifikat erforderlich.

Der Server-zu-Server-Fluss the-server-to-server-flow

Benutzende mit der Rolle eines IMS-Organisationsadministrators, die auch Mitglieder des Produktprofils AEM-Benutzende oder AEM- in der AEM-Autoreninstanz sind, können ein technisches Konto erstellen. Das Client-Geheimnis wird bei der Erstellung nur dem Benutzer angezeigt, der es erstellt hat. Benutzende mit der Rolle eines AEM as a Cloud Service-Umgebungs-Administrators können die Kontodetails anzeigen, die das Client-Geheimnis nicht enthalten.

Der Server-zu-Server-Fluss umfasst die folgenden Schritte:

Erstellen eines technischen Kontos und Abrufen seiner Anmeldeinformationen fetch-the-aem-as-a-cloud-service-credentials

Um die Details der geheimen Daten später zu überprüfen, öffnen Sie das Zeilenmenü des Client-Geheimnisses und wählen Sie Anzeigen aus. Das Dialogfeld „Anmeldeinformationen“ zeigt den IMS-Endpunkt, die Bereiche, die Client-ID, die E-Mail-Adresse des technischen Kontos, die geheime ID und den Sperrstatus an. Der Wert des Client-Geheimnisses wird nicht angezeigt.

Installieren der AEM-Service-Anmeldeinformationen auf einem Nicht-AEM-Server install-the-aem-service-credentials-on-a-non-aem-server

Stellen Sie die Anmeldeinformationen nur für die Server-seitige Anwendung zur Verfügung, die AEM aufruft. Verwenden Sie einen geheimen Manager oder einen anderen Zugriffskontrollmechanismus.

Fügen Sie kein Client-Geheimnis in Browser-seitigen Code, Mobile Apps, Quellcodeverwaltung oder Protokollen ein. Behandeln Sie Zugriffs-Token auch als Geheimnisse.

Anfordern eines OAuth-Zugriffstoken request-an-oauth-access-token

Senden Sie eine HTTPS-POST an https://<imsEndpoint>/ims/token/v3. Der imsEndpoint in der JSON-Datei zur Berechtigung ist ein IMS-Hostname. ims-na1.adobelogin.com verwendet beispielsweise https://ims-na1.adobelogin.com/ims/token/v3. Verwenden Sie den in Ihren Anmeldeinformationen angegebenen Hostnamen, einschließlich des Hostnamens für das Stadium bei Verwendung der Anmeldeinformationen für das Stadium.

Verwenden Sie Content-Type: application/x-www-form-urlencoded und schließen Sie diese Formularfelder in den Anfrageinhalt ein:

URL-Codierung jedes Formularwerts. Senden Sie geheime Daten im Anfragetext, nicht in der URL oder Abfragezeichenfolge.

Die Antwort umfasst access_token, token_type und expires_in. Verwenden Sie access_token , um AEM aufzurufen. Der expires_in Wert ist die Token-Lebensdauer in Sekunden. Verwenden Sie diesen Wert, anstatt eine feste Ablaufzeit anzunehmen.

Speichern Sie das Zugriffstoken zwischen und verwenden Sie es erneut, bis es fast abläuft. Fordern Sie dann ein neues Token mit denselben Client-Anmeldeinformationen an. Diese Gewährung erfordert keinen JWT-Austausch oder ein Aktualisierungs-Token.

Beispiel für die Node.js-Authentifizierung nodejs-authentication-example

Eine minimale OAuth-Server-zu-Server-Implementierung finden Sie im Beispiel der AEM-CS API-Client-Bibliothek. Es verwendet integrierte Node.js-APIs und erfordert Node.js 18 oder neuer ohne zusätzliche Abhängigkeiten.

Das Beispiel erwartet die Anmeldeinformationen in einem integration. Die von AEM Developer Console heruntergeladene aem-s2s-credentials.json-Datei enthält die Anmeldeinformationen ohne diesen Wrapper. Schließen Sie den Inhalt vor der Verwendung mit dem Beispiel ein, z. B. mit jq:

jq '{integration: .}' aem-s2s-credentials.json > downloaded_integration.json

Bearbeiten Sie alternativ die Datei so, dass ihr vollständiger Inhalt zum Wert eines integration-Felds der obersten Ebene wird. Führen Sie aus dem Beispiel-Repository Folgendes aus:

node oauth-s2s-cli.js downloaded_integration.json

Für die programmgesteuerte Verwendung akzeptiert der OAuth-Helper das umschlossene Objekt als requestAccessToken(credentials). Dabei werden der IMS-Hostname, die Client-ID, das Client-Geheimnis und die Bereiche in integration verwendet.

Behalten Sie die Datei mit den Anmeldeinformationen für sich. Die CLI druckt ein Zugriffs-Token. Senden Sie keine Ausgaben an freigegebene Protokolle oder veröffentlichen Sie sie nicht. Die README-Datei des Beispiels zeigt auch, wie das Token in einer AEM-API-Anfrage verwendet wird.

Aufrufen der AEM-API calling-the-aem-api

Fügen Sie das Zugriffstoken mithilfe des Bearer <access_token> in die Authorization-Kopfzeile von Anfragen an Ihre AEM as a Cloud Service-Umgebung ein.

curl --header "Authorization: Bearer ${ACCESS_TOKEN}" \
  "https://author-p<program-id>-e<environment-id>.adobeaemcloud.com/content/dam.json"

Verwenden Sie den Hostnamen für die Umgebung und die Ebene, auf die Ihre Anwendung zugreift. Nur Ressourcen aufrufen, auf die das technische Konto zugreifen darf.

Festlegen der entsprechenden Berechtigungen für den technischen Kontobenutzer in AEM set-the-appropriate-permissions-for-the-technical-account-user-in-aem

Weitere Informationen zu IMS und AEM-Benutzern und -Gruppen finden Sie unter IMS-Unterstützung.

Entwicklungsablauf developer-flow

Für lokale Tests können Entwicklerinnen und Entwickler ein Entwicklungs-Zugriffstoken direkt in der AEM Developer Console generieren, ohne ein technisches OAuth-Server-zu-Server-Konto zu erstellen. Das Token kann zum Aufrufen von AEM-Umgebungen verwendet werden, auf die Entwicklerinnen und Entwickler zugreifen können. Verwenden Sie für unbeaufsichtigte Server-seitige Anwendungen OAuth-Server-zu-Server-Anmeldeinformationen anstelle eines lokalen Entwicklungstokens.

Die für ​ Verwendung von AEM Developer Console erforderlichen ​ finden Sie in den Entwicklerrichtlinien .

Generieren des Zugriffs-Tokens generating-the-access-token

Aufrufen der AEM-Anwendung mit einem Zugriffs-Token call-the-aem-application-with-an-access-token

Verwenden Sie das lokale Entwicklungs-Zugriffstoken als Bearer-Token in der Authorization-Kopfzeile, wie in Aufrufen der AEM-API beschrieben.

Für ein AEM-Projekt, das auf Ihrem lokalen Computer ausgeführt wird, ist kein IMS-Zugriffstoken erforderlich.

Rotieren von Client-Geheimnissen refresh-credentials

OAuth-Server-zu-Server-Anmeldeinformationen erfordern keine jährliche Zertifikatsverlängerung. Rotieren Sie Client-Geheimnisse regelmäßig und immer dann, wenn geheime Daten offen gelegt werden. Erstellen Sie neue geheime Daten, stellen Sie sie in Ihren Anwendungen ein und widerrufen Sie erst dann die alten geheimen Daten.

Das Erstellen und Widerrufen von geheimen Daten erfordert die von Ihnen gespeicherten geheimen Daten. AEM Developer Console verwendet einen eingegebenen geheimen Schlüssel nur zur Authentifizierung der Anfrage bei IMS und speichert ihn nicht.

Widerrufen der Anmeldeinformationen credentials-revocation

Widerrufen deaktiviert ein ausgewähltes Geheimnis für neue Token-Anfragen. Dazu muss der Wert der geheimen Daten widerrufen werden. Es kann einige Zeit dauern, bis die Sperrung propagiert wird. Gehen Sie nicht davon aus, dass durch Widerrufen geheimer Daten bereits ausgestellte Zugriffstoken sofort ungültig werden.

Löschen bei widerrufenen geheimen Daten werden deren Metadaten, wie die geheime ID und der Sperrstatus, aus AEM Developer Console entfernt. Es führt keine separate IMS-Sperrung durch und ist nicht für aktive geheime Daten verfügbar.

Löschen eines technischen Kontos delete-a-technical-account

Durch das Löschen eines technischen Kontos werden das Konto und alle zugehörigen Client-Geheimnisse in IMS sofort widerrufen. Für Anmeldeinformationen unter dem Konto werden keine neuen Zugriffs-Token ausgestellt und Integrationen, die sie verwenden, funktionieren nicht mehr, sobald ihre aktuellen Token ablaufen. Um den Zugriff wiederherzustellen, müssen Sie ein neues technisches Konto erstellen, Ihre Anwendungen mit den zugehörigen Anmeldeinformationen aktualisieren und die erforderlichen Berechtigungen in AEM erneut zuweisen.

Das Löschen des Kontos kann nicht rückgängig gemacht werden. Bestätigen Sie erst, nachdem Sie geprüft haben, welche Programme vom Konto abhängen, und verwenden Sie sie nicht als Drehschritt „Individual-Secret“.

Migrieren einer JWT-basierten Integration migrate-a-jwt-based-integration

Informationen zu Vorgängen im Zusammenhang mit Zertifikaten und privaten Schlüsseln im alten Konto finden Sie im JWT Legacy-Handbuch. Entfernen Sie das alte Konto nicht, bevor die Ersatzintegration überprüft wurde.