Überblick

Zur Unterstützung automatisierter Zugriffe auf die Server-API wurde ein API-Token-Verfahren eingeführt. Ziel ist es, Skripten und Integrationen eine sichere Authentifizierung zu ermöglichen, ohne Benutzerkennwörter direkt verwenden zu müssen. Ergänzend dazu wurde die Authentifizierungsinfrastruktur erweitert, sodass mehrere OpenID-Provider parallel konfiguriert werden können. Der Vorteil eines separaten API-Tokens liegt auch darin, dass der API-Key einfach gelöscht werden kann ohne den betreffenden User zu kompromittieren.

API-Token für automatisierte Zugriffe

API-Tokens dienen als empfohlene Authentifizierungsmethode für skriptgesteuerte REST-API-Zugriffe. Sie sind einem bestehenden Benutzerkonto zugeordnet und übernehmen dessen Berechtigungen. Dadurch können automatisierte Anwendungen im Namen eines Benutzers auf die API zugreifen, ohne dessen Passwort zu kennen oder zu speichern.

Im Gegensatz zur Basic Authentication, bei der Benutzername und Passwort übertragen werden, können API-Tokens unabhängig vom Benutzerpasswort verwaltet werden. Wird ein Token kompromittiert, kann es widerrufen und neu erzeugt werden, ohne dass Änderungen am Benutzerkonto erforderlich sind.

Sicherheitskonzept

Ein API-Token besteht aus einer öffentlichen Token-ID und einem Secret.

AppServer Service > Registerseite "Login"

Erzeugen Sie mittels Button Zufällig [Random] eine ID und ein Secret.

Tragen Sie unbedingt einen User ein. Alle User, die unter Rechteverwaltung [Rights administration] aufgenommen sind, können hier eingetragen werden.

Zusätzlich können API-Tokens optional eingeschränkt werden, beispielsweise auf:

Diese Einschränkungen reduzieren das Missbrauchsrisiko und ermöglichen eine kontrollierte Nutzung automatisierter Zugriffe.

Kopieren Sie mittels Button Kopieren [Copy] ID, Secret und die übrigen Einstellungen in den Zwischenspeicher.

Das Secret wird ausschließlich bei der Erstellung angezeigt und kann anschließend nicht mehr ausgelesen werden. Dadurch wird verhindert, dass Zugangsdaten nachträglich offengelegt werden.

	Hinweis
	Sichern Sie den ApiToken-String, bevor Sie den Dialog schließen.

Nach Bestätigung mit OK erfolgt der Eintrag.

"Secret" wird nicht mehr angezeigt.

Erweiterte OpenID-Authentifizierung

Die Erweiterungen stehen nun über eine grafische Benutzeroberfläche zur Verfügung. Dadurch entfällt die manuelle Bearbeitung von Konfigurationsdateien.

Erlaube Basic-Authentication ohne Server-Anforderung (Unsicher) [Enable Basic Authentication without a server request (Insecure)]: Ist die Option aktiviert, werden Benutzername und Passwort im Klartext übertragen.

Login Provider: Für AppServer-Lösungen gibt es genau einen Open ID Provider, der hier eingestellt wird. Das ist der OpenID Provider, der beim 3Dfindit-Login angezeigt wird.

Neben dem regulären Login Provider können mit Klick auf den + Button beliebig viele, zusätzliche OpenID Provider konfiguriert werden. Dadurch lassen sich verschiedene Identitätsquellen parallel unterstützen, was insbesondere für Integrationen und Automatisierungsszenarien von Bedeutung ist.

Die Konfiguration umfasst folgende Einstellungen:

Auf diese Weise können unabhängig von den Einstellungen unter Rechteverwaltung [Rights administration] > Benutzerdatenbanken [User databases] > OpenID weitere Provider konfiguriert werden.