apigee gateway、authn 和 authz：REST API 调用另一个 REST API

Posted 2023-03-28

【中文标题】apigee gateway、authn 和 authz：REST API 调用另一个 REST API

【英文标题】：apigee gateway, authn and authz: REST API calls another REST API

【发布时间】：2021-07-22 11:08:24

【问题描述】：

我们正在使用 apigee API 网关并公开一个 REST 端点。我们了解apigee支持various options for securing端点。

我们的用例是这个 REST 端点应该调用软件供应商提供的另一个 REST API。软件供应商有自己的认证和授权机制。基本上他们有用户和角色的概念。

我的问题是这种情况下的最佳做法是什么？我们应该在网关级别还是在供应商 REST API 级别进行身份验证和身份验证，还是两者兼而有之？

在任何情况下，供应商 REST API 级别都没有转义 authn 和 authz。

请提出建议。谢谢。

【参考方案1】：

在您的情况下，这首先取决于您是否只是在供应商 API 面前提供代理，或者您自己的 API 是否提供独特的服务，而供应商的 API 可能只是您的中间件做出的几个“调用”之一提供其整体价值。另一种看待它的方式是问：您的 API 端点的客户是您唯一的客户，还是他们真的只是供应商底层 API 的客户？如果这是您自己的 API“产品”，您可以选择使用自己的 API 客户端 AuthN/AuthZ 层，或者如果您的端点实际上只是一个轻薄的抽象，您可以选择将凭证直接传递给供应商 API。 Net-net，这取决于您的端到端用例。