Página Perfis de Segurança no Jitterbit API Manager

Introdução

Use a página Perfis de Segurança no API Manager para configurar e gerenciar perfis de segurança. Perfis de segurança controlam o acesso dos usuários às APIs do API Manager.

Como alternativa, crie e gerencie perfis de segurança usando o Assistente de IA do APIM.

Para executar ações ou fazer edições na página Perfis de Segurança, é necessário um papel com permissão Admin. Usuários em papéis não-admin com acesso ao ambiente Leitura ou superior têm acesso somente leitura.

Para obter informações sobre perfis de segurança, consulte Perfis de segurança em Conceitos-chave.

Acessar a página Perfis de Segurança

Para acessar a página Perfis de Segurança, use o menu do portal Harmony para selecionar API Manager > Perfis de Segurança.

Cabeçalho da página Perfis de Segurança

O cabeçalho no topo da página Perfis de Segurança inclui uma caixa de pesquisa, filtros e um botão para criar um novo perfil de segurança:

• Filtros: Você pode filtrar perfis de segurança por qualquer uma das seguintes opções:

  

  • Tipo de autenticação: Selecione os tipos de autenticação para os perfis de segurança. As opções incluem Anônimo, Chave de API, Básico, Personalizado ou OAuth 2.0. Quando todos os filtros estão desmarcados, perfis de segurança com qualquer tipo de autenticação aparecem.

  • Perfil de segurança padrão: Selecione se deseja mostrar perfis padrão ou não-padrão.

  • Ambiente: Selecione os ambientes onde os perfis de segurança estão localizados. Quando todos os filtros estão desmarcados, perfis de segurança para todos os ambientes em sua organização aparecem (limitado aos ambientes que você pode acessar).

  • Status de validade: Selecione um status de validade de chave de API (Ativo, Vencendo em breve ou Expirado) para filtrar perfis de segurança que usam o tipo de autenticação de chave de API. Quando nenhum status é selecionado, perfis de segurança com qualquer status de validade aparecem.

  • Grupo de IP confiável: Selecione os grupos de IP confiáveis incluídos nos perfis de segurança.

• Pesquisa: Digite qualquer parte do nome de um perfil de segurança para filtrar perfis de segurança por nome. A pesquisa não diferencia maiúsculas de minúsculas.

• Filtrar colunas: Clique para alterar a organização e a visibilidade das colunas. A gaveta Colunas abre:

  

  A gaveta inclui estes controles:

  • Mostrar Tudo: Torna todas as colunas visíveis.
  • Mover: Arraste e solte para alterar a posição da coluna em relação às outras.
  • Ocultar: A coluna está visível. Clique para ocultá-la.
  • Mostrar: A coluna está oculta. Clique para mostrá-la.
  • Salvar: Salve as alterações das colunas.
  • Cancelar: Feche a gaveta de colunas sem salvar alterações.

• Novo: Clique para selecionar uma das seguintes opções:

  • Construir com IA: Abre o Assistente do APIM para criar um perfil de segurança usando prompts em linguagem natural. Para obter mais informações, consulte Usar o Assistente de IA.

    Nota

    Para usar o Assistente de IA do APIM, sua licença do Harmony deve incluir a opção Assistente de IA do APIM. Entre em contato com seu Gerenciador de Sucesso do Cliente (CSM) para adicionar essa opção à sua licença.

  • Perfil de Segurança: Abre a gaveta de configuração do perfil de segurança para criar manualmente um novo perfil de segurança.

Configurar um perfil de segurança

A gaveta de configuração do perfil de segurança é organizada em seções Perfil, Autenticação, Registro e Endereço IP confiável recolhíveis. Configure os campos em cada seção conforme descrito abaixo, depois clique em Salvar para salvar e fechar a configuração ou Cancelar para fechá-la sem salvar.

Perfil

• Nome do perfil: Insira um nome para identificar o perfil de segurança. O nome não deve começar ou terminar com um espaço. É permitido um máximo de 50 caracteres.

  Cuidado

  Se você configurar o perfil de segurança com OAuth 2.0 e usar Microsoft Entra ID ou Google como provedor de identidade OAuth 2.0 (configurado abaixo), o Nome do perfil não deve conter espaços. Se o Nome do perfil conter espaços, você receberá um erro ao tentar acessar uma API à qual o perfil de segurança está atribuído.

• Ambiente: Use o menu suspenso para selecionar um ambiente existente onde o perfil de segurança pode ser atribuído. Você pode digitar qualquer parte do nome do ambiente no menu para filtrar a lista de ambientes. Os resultados do menu são filtrados em tempo real a cada digitação. Para saber mais sobre a relação entre ambientes e perfis de segurança, consulte Múltiplos perfis de segurança em Conceitos-chave.

• Padrão: Selecione para tornar este perfil de segurança o padrão para o ambiente selecionado. O perfil de segurança padrão será pré-selecionado quando uma nova API for criada. Apenas um perfil de segurança padrão pode ser selecionado em cada ambiente. Depois que um perfil de segurança padrão tiver sido especificado para um ambiente, selecionar um perfil de segurança diferente como padrão substituirá a seleção do perfil de segurança padrão existente. Selecionar ou alterar o perfil de segurança padrão não afetará o perfil de segurança atribuído às APIs existentes.

• Descrição: Insira uma descrição opcional do perfil de segurança.

• Limites de taxa e acessos por minuto: Ative Limites de taxa para impor um número máximo compartilhado de acessos à API por minuto que podem ser feitos em todas as APIs às quais este perfil de segurança está atribuído. Quando essa opção é selecionada, você deve inserir um número máximo de acessos por minuto.

  Quando ativado, chamadas acima do máximo definido são rejeitadas. Como tal, chamadas para APIs atribuídas a este perfil de segurança podem experimentar um número aumentado de rejeições. Para mais informações, consulte Limites de taxa em Conceitos-chave.

Autenticação

Use o menu Tipo de autenticação para selecionar um tipo de autenticação para o perfil de segurança. Depois de selecionar o tipo, campos adicionais ficam disponíveis para configuração. Esta seção descreve os campos para cada tipo:

• Anônima
• Chave de API
• Básica
• Personalizada
• OAuth 2.0

Anônima

Selecione o tipo de autenticação Anônima se nenhuma autenticação for necessária.

Chave de API

Selecione o tipo de autenticação Chave de API para usar um par de chave e valor de API para acessar uma API atribuída a este perfil de segurança. Quando esse tipo é selecionado, esses campos são usados para criar as credenciais necessárias:

• Chave: Insira o nome do cabeçalho que deseja usar, como Authorization ou X-API-KEY. É permitido um máximo de 256 caracteres.
• Valor: Um valor é gerado automaticamente para uso com o nome do cabeçalho Chave. Você pode editar o valor ou usar o ícone atualizar para gerar um novo valor. É permitido um máximo de 256 caracteres.
• Copiar: Copia o Valor para sua área de transferência.
• Expiração da chave de API e Duração da expiração (dias): Essa alternância está desativada por padrão, caso em que o valor da chave de API nunca expira. Ative Expiração da chave de API para definir um período de expiração para o valor da chave de API. Quando ativado, insira o número de dias após o qual a chave de API expira no campo Duração da expiração (dias). O valor padrão é 180.

Antes de uma chave de API expirar, a Jitterbit envia um email de lembrança aos administradores da sua organização. Após uma chave de API expirar, as solicitações de API que usam essa chave são rejeitadas com um erro HTTP 401 Unauthorized.

Básico

Selecione o tipo de autenticação Básico para usar autenticação HTTP básica e acessar uma API atribuída a este perfil de segurança. Quando esse tipo é selecionado, estes campos são usados para criar as credenciais necessárias:

• Nome de usuário: Digite o nome de usuário que os consumidores de API fornecem para acessar uma API atribuída a este perfil de segurança. O nome de usuário diferencia maiúsculas de minúsculas e não deve conter <, >, ', ", ;, \, %, uma crase (`), (, ), {, }, uma sequência --, um comentário /* */ ou uma sequência de retorno de carro/alimentação de linha (CRLF). Se o nome de usuário contiver qualquer um desses caracteres, um erro de validação aparecerá e você deverá removê-los antes de salvar o perfil de segurança. Se você pretender usar as credenciais em um cabeçalho HTTP ao chamar a API, o nome de usuário também não deve conter dois-pontos (:).

• Senha: Digite a senha que os consumidores de API fornecem junto com o nome de usuário.

Base64Encode("exampleuser"+":"+"examplepassword")

Personalizado

Selecione o tipo de autenticação Personalizado para validar uma assinatura que o aplicativo chamador inclui em cada solicitação para uma API atribuída a este perfil de segurança. Quando esse tipo é selecionado, estes campos são usados para criar as credenciais necessárias:

• Tipo de validação: Use a lista suspensa para selecionar o esquema de assinatura a validar. A única opção compatível é HMAC. Quando HMAC é selecionado, os seguintes campos de configuração HMAC ficam disponíveis.

• Algoritmo: Use a lista suspensa para selecionar o algoritmo de hash usado para gerar a assinatura. Escolha HMAC-SHA256 ou HMAC-SHA512.

• Nome do cabeçalho de assinatura: Digite o nome do cabeçalho HTTP no qual o aplicativo chamador inclui a assinatura, como X-Signature. Este campo é obrigatório e não pode conter espaços, tabulações ou quebras de linha.

• Conteúdo de assinatura: Use a lista suspensa para selecionar o conteúdo usado para gerar a assinatura. A única opção compatível é Payload da solicitação, o que significa que o corpo completo bruto da solicitação é assinado.

• Codificação de assinatura: Use a lista suspensa para selecionar a codificação do valor de assinatura. A única opção compatível é Hex.

• Segredo compartilhado: Insira a chave secreta que a aplicação chamadora usa para gerar a assinatura. Este campo é obrigatório.

  Cuidado

  Após salvar o perfil de segurança, o valor de Segredo compartilhado não poderá ser visualizado novamente. Para alterá-lo, insira um novo valor. Para manter o segredo existente inalterado ao editar o perfil de segurança, deixe este campo em branco.

• Código de status não autorizado: Insira o código de status HTTP retornado à aplicação chamadora quando a validação de assinatura falhar. O valor padrão é 401.

• Corpo da resposta não autorizada: Insira um corpo de resposta opcional para retornar à aplicação chamadora quando a validação de assinatura falhar. O valor padrão é {"error": "Unauthorized"}.

Se HMAC-SHA256 estiver selecionado para Algoritmo, consulte Gerar uma assinatura HMAC-SHA256 no Jitterbit Studio para conhecer as etapas que a aplicação chamadora pode usar para gerar uma assinatura correspondente.

OAuth 2.0

Selecione o tipo de autenticação OAuth 2.0 para usar um token de autorização OAuth 2.0 a fim de acessar uma API atribuída a este perfil de segurança. OAuth 2.0 é um padrão aberto para delegação de acesso. Quando este tipo é selecionado, estes campos são usados para criar as credenciais necessárias:

• Provedor OAuth: Use a lista suspensa para selecionar um provedor de identidade suportado. Escolha entre Azure AD (Microsoft Entra ID), Google, Okta ou Salesforce.

• Fluxo OAuth com 2 etapas: Por padrão, OAuth com 3 etapas é usado para todos os provedores de identidade. Este processo requer interação manual para autenticar ao acessar uma API atribuída a este perfil de segurança. A opção Fluxo OAuth com 2 etapas está disponível apenas para Microsoft Entra ID (Microsoft Entra ID) e Okta. Esta opção permite configurar um escopo e um público para remover a etapa manual.

  Nota

  Se você usar um gateway de API privada, deverá usar a versão do gateway 10.48 ou posterior para que esta opção funcione. Se o gateway não for versão 10.48 ou posterior, OAuth com 3 etapas é usado mesmo se OAuth com 2 etapas estiver configurado. Se você não estiver usando um gateway de API privada, esta opção não possui requisitos de versão.

• Domínios autorizados: Insira nomes de domínio separados por vírgulas para limitar o acesso a domínios na lista de permissões. Deixe em branco para acesso irrestrito.

• Credenciais de cliente: Adicione pares de credenciais de cliente (uma ID de cliente e um segredo de cliente) para o perfil de segurança de modo que os consumidores possam se autenticar na API. Quando o Fluxo OAuth com 2 etapas estiver ativado, você poderá adicionar múltiplas credenciais de cliente, permitindo que consumidores distintos se autentiquem na mesma API usando credenciais exclusivas. Quando o Fluxo OAuth com 2 etapas estiver desativado (3 etapas), você poderá adicionar uma única credencial de cliente. Os controles a seguir estão disponíveis:

  • Pesquisar: Insira qualquer parte do nome do consumidor para filtrar a lista de credenciais de cliente.

  • Adicionar credencial de cliente: Clique para adicionar uma linha editável à tabela. Preencha estes campos (todos são obrigatórios) e clique na marca de seleção na coluna Ações para salvar a credencial ou no ícone de fechar para descartá-la:

    • Nome do consumidor: Insira um nome para identificar o consumidor que usa este par de credenciais.

    • ID do cliente: Insira a ID do cliente que você obteve do provedor de identidade.

    • Segredo do cliente: Insira o segredo do cliente que você obteve do provedor de identidade. Use o ícone mostrar para revelar o valor.

    • Status: Defina a credencial como Ativa ou Inativa. Apenas credenciais Ativas podem ser usadas para se autenticar na API.

  Cada credencial de cliente salvo aparece como uma linha na tabela, mostrando seu Nome do consumidor, ID do cliente, Segredo do cliente e Status. Passe o cursor sobre uma linha para revelar estas ações na coluna Ações:

• Editar: Clique para editar a credencial do cliente em uma linha editável.

  • Excluir: Clique para excluir a credencial do cliente.

  Consulte as instruções para obter a ID do cliente e o segredo do cliente para Microsoft Entra ID, Google, Okta ou Salesforce.

• Os campos restantes do OAuth 2.0 (URL de redirecionamento do OAuth, Escopo do OAuth, URL de descoberta do OpenID, Audience, URL de autorização do OAuth, URL do token do OAuth, URL de informações do usuário e Adicione esta URL de redirecionamento à sua conta do OAuth) são preenchidos com valores padrão e contêm configurações específicas do seu provedor de identidade. Alguns desses campos aparecem apenas quando o Fluxo OAuth de 2 etapas está habilitado. Configure-os de acordo com as instruções do seu provedor de identidade: Microsoft Entra ID (2 etapas, 3 etapas), Google, Okta (2 etapas, 3 etapas) ou Salesforce.

• Testar conectividade: Clique para verificar a conectividade com o provedor de identidade usando a configuração fornecida. O comportamento resultante depende de se a opção Fluxo OAuth de 2 etapas está sendo usada:

  • OAuth de 2 etapas: Para Microsoft Entra ID e Okta quando o Fluxo OAuth de 2 etapas está sendo usado, o gateway da API obtém o token de acesso e a autenticação ocorre automaticamente. Você será redirecionado para o API Manager com uma mensagem que mostra os resultados do teste.

  • OAuth de 3 etapas: Para Google e Salesforce, e para Microsoft Entra ID e Okta quando o Fluxo OAuth de 2 etapas não está sendo usado, uma nova guia do navegador exibe a interface de login nativa do provedor de identidade. Após fornecer suas credenciais para o provedor de identidade, você será redirecionado para o API Manager com uma mensagem que mostra os resultados do teste.

Registro em log

Selecione o identificador que será incluído nos cabeçalhos das solicitações da API para rastrear qual método de autorização foi usado para acessar este perfil de segurança. Esse valor aparece no campo Usuário definido como nos logs da API para cada solicitação da API, permitindo que você monitore e audite diferentes métodos de acesso.

O rótulo do primeiro botão de opção corresponde ao Tipo de autenticação configurado para o perfil de segurança:

• Anônimo: Envia o valor Anonymous.

• Básico: Envia o valor do campo Nome de usuário (conforme definido em Autenticação básica).

• OAuth: Envia o valor OAuth2.0.

• Chave de API: Envia o valor APIKEY.

Se o perfil de segurança usar autenticação Personalizada (HMAC-SHA256 ou HMAC-SHA512), este botão de opção será rotulado como Anônimo e enviará o valor Anonymous.

Quando Personalizado é selecionado para Registro em log, este campo fica disponível:

• Campo de cabeçalho de solicitação: Envia o valor inserido na caixa de texto, por exemplo, X-API-Key.

Endereço IP confiável

Você pode escolher se deseja limitar o acesso às APIs dentro do perfil de segurança a consumidores de um único endereço IP ou de um intervalo de endereços IP:

• Confiar apenas em solicitações dos seguintes intervalos de IP: Ative para limitar o acesso às APIs dentro de um perfil de segurança a consumidores de determinados endereços IP. Apenas endereços IP incluídos nos intervalos especificados podem acessar as APIs usando este perfil de segurança. Quando ativado, uma tabela de grupos de IP confiáveis existentes é exibida:

  

  • Pesquisar: Digite o nome de um grupo de IP confiável existente. Quando você clica na caixa de pesquisa, uma lista de grupos de IP confiáveis existentes é preenchida. A lista é filtrada em tempo real com cada digitação na caixa de pesquisa. Clique no nome do grupo de IP confiável para adicioná-lo ao perfil de segurança.

  • Atribuir: Ative para atribuir o grupo de IP confiável ao perfil de segurança.

  • Nome: O nome do grupo de IP confiável.

  • Usado em: Os nomes dos perfis de segurança onde o grupo de IP confiável está sendo usado no momento.

  • Ações: Passe o mouse sobre uma linha do grupo de IP confiável para revelar uma ação adicional:

    • Editar: Clique para editar os intervalos de IP para a linha do grupo de IP confiável.

  • Novo grupo de IP confiável: Clique para adicionar um novo grupo de IP confiável. Quando clicado, esta tela de configuração é exibida:

    

    • Nome: Digite um nome para identificar o grupo de IP confiável. Para grupos de IP confiáveis existentes, clique no nome de um grupo de IP confiável para renomeá-lo.

    • Novo intervalo: Clique para adicionar um intervalo de endereços IP.

    • Endereço IP inicial: Digite o primeiro endereço IP a incluir no intervalo. Apenas endereços IP inseridos no formato IPv4 são compatíveis.

    • Endereço IP final: Digite o último endereço IP a incluir no intervalo. Apenas endereços IP inseridos no formato IPv4 são compatíveis.

    • Descrição: Digite uma descrição do intervalo de endereços IP (opcional).

    • Ações: Passe o mouse sobre um intervalo de endereços IP para revelar uma ação adicional:

      • Excluir: Exclui a linha do intervalo de endereços IP do perfil de segurança.

    • Cancelar: Clique para descartar o grupo de IP confiável e retornar à configuração do perfil de segurança.

    • Salvar: Clique para salvar o grupo de IP confiável. Depois que o perfil de segurança for salvo, este grupo de IP confiável estará disponível para uso em outros perfis de segurança conforme necessário.

Visualizar perfis de segurança existentes

A página Perfis de segurança exibe todos os perfis de segurança existentes na organização Harmony selecionada, agrupados por ambiente. Cada coluna da tabela está descrita abaixo:

• Nome do perfil: O nome do perfil de segurança. Para alternar a ordem de classificação de cada tabela entre ordem alfabética decrescente e crescente, clique na seta para cima ou para baixo.

• Expiração: Para perfis de segurança que usam o tipo de autenticação de chave de API com expiração de chave de API ativada, a data em que a chave de API expira, juntamente com um indicador de status mostrando Expirando em breve quando a chave está a 7 dias de sua data de expiração. Esta coluna fica em branco para perfis de segurança que não têm a expiração de chave de API ativada.

• Tipo de autenticação: O tipo de autenticação usado para autenticar e acessar as APIs atribuídas a este perfil de segurança.

• Descrição: Uma descrição do perfil de segurança, se fornecida.

• APIs usando: As APIs às quais o perfil de segurança está atribuído.

• Acertos por minuto: O número máximo de solicitações de API permitidas por minuto usando este perfil, se configurado.

• Ambiente: O ambiente onde o perfil de segurança se aplica.

• Classe do ambiente: A classe do ambiente. Essa informação é usada apenas para fins de relatório.

• Padrão: O nome do ambiente padrão do perfil de segurança, se configurado.

• Criado: A data e a hora local do navegador quando o perfil de segurança foi criado.

• Criado por: O endereço de email do usuário que criou o perfil de segurança.

• Último editor: A data e a hora local do navegador quando o perfil de segurança foi modificado pela última vez.

• Editado por: O endereço de email do usuário que editou o perfil de segurança mais recentemente.

• Grupos de IP confiáveis: Todos os grupos de IP confiáveis atribuídos ao perfil de segurança. Para mais informações, consulte Endereços IP confiáveis.

• Ações: Passe o mouse sobre um perfil de segurança para revelar estes ícones de ação:

  • Editar: Clique para abrir a tela de configuração do perfil de segurança.

  • Excluir: Clique para excluir permanentemente o perfil de segurança. Uma mensagem solicita a confirmação da exclusão. Se o perfil de segurança estiver atribuído a qualquer API, é necessário desatribuí-lo ou substituí-lo antes de excluir.

    Importante

    Após desatribuir um perfil de segurança de uma API, é necessário salvar e publicar a API para que a alteração tenha efeito. Até que a API seja publicada, o perfil de segurança ainda é considerado "em uso" e não pode ser excluído até que todas as APIs que o utilizavam anteriormente sejam publicadas com a configuração atualizada. Isso se aplica mesmo se a API estiver em status de rascunho com o perfil desatribuído.

  • URL de exibição do OAuth: Quando um perfil de segurança OAuth de 2 etapas está configurado, clique para copiar a URL necessária para gerar um token OAuth. Para obter instruções, consulte Microsoft Entra ID de 2 etapas ou Okta de 2 etapas.

Próximas etapas

Para mais informações sobre como atribuir perfis de segurança a uma API, consulte estes recursos:

• Guia de perfis de segurança de API
• APIs personalizadas
• APIs OData
• APIs proxy

Solução de problemas

Para a solução de problemas relacionados, consulte o seguinte no guia de solução de problemas do API Manager:

• Microsoft Entra ID OAuth: O nome do perfil de segurança não pode conter espaços

• Microsoft Entra ID OAuth de 2 etapas: erro OAUTH_INVALID_TOKEN_CODE

• A API do Azure AD Graph foi descontinuada

• Provedor de identidade do Google ou Salesforce: OAuth de 2 etapas não é suportado

• Microsoft Copilot Studio: Autenticação básica não suportada

• Autenticação básica: Uma credencial em cache de uma solicitação anterior afeta uma chamada de API posterior

• CORS habilitado: solicitações OPTIONS são executadas sem autenticação

• As alterações do perfil de segurança levam vários minutos para entrar em vigor

• O perfil de segurança não pode ser excluído enquanto ainda estiver atribuído a uma API publicada