Die Authentifizierung von Benutzern am API Server erfolgt pro API-Projekt.
Die Ausführung einer API-Methode erfordert die vorherige Authentifizierung an einem API-Projekt. Ist die API-Methode als AllowUnauthenticated markiert (Beispiele finden Sie im SDK), ist keine Authentifizierung nötig.
Die Authentifizierung erfolgt in zwei Schritten:
-
Erforderliche primäre Authentifizierung: Standard-Authentifizierung über ein Authentifizierungsmodul
-
Optionale sekundäre Authentifizierung: Multifaktor-Authentifizierung (über OneLogin)
Weitere Informationen zur Konfiguration der Authentifizierung finden Sie im One Identity Manager Konfigurationshandbuch für Webanwendungen.
Detaillierte Informationen zum Thema
Verwandte Themen
Die primäre Authentifizierung am API-Projekt wird mithilfe der API-Methode imx/login/<Name des API-Projektes> ermöglicht.
Senden Sie dazu eine Anfrage mit der HTTP-Methode POST mit folgendem Inhalt:
{ "Module": "RoleBasedPerson", "User": "<Benutzername>", "Password": "<Passwort>" }
TIPP: Beispiele dazu finden Sie im SDK.
Sicherheitsmechanismen
Der API Server verwendet einen Sicherheitsmechanismus, um Cross-Site-Request-Forgery-Angriffe (CSRF) zu unterbinden. Dafür wird bei der Anmeldung ein zufällig generiertes Token in einem Cookie (XSRF-TOKEN) an den Client gesendet. Der Client muss danach in jeder Anfrage an den Server den Wert dieses Tokens in einem HTTP-Header (X-XSRF-TOKEN) übermitteln. Fehlt dieser Header, wird die Anfrage mit dem Fehlercode 400 beendet.
TIPP: Sie können den Namen des Cookies und des HTTP-Headers über das Administration Portal anpassen.
Die Abmeldung vom API-Projekt wird mithilfe der API-Methode imx/logout/<Name des API-Projektes> ermöglicht.
Senden Sie dazu eine Anfrage mit der HTTP-Methode POST ohne Inhalt.
Der Status der Sitzung wird in einem Cookie gespeichert. Dieses Cookie enthält ein verschlüsseltes Sicherheitstoken, mit dem die Anmeldung am API Server auch wiederhergestellt werden kann, wenn der API Server zwischenzeitlich neu gestartet wird. Das Sicherheitstoken wird mit dem bei der Installation ausgewählten Zertifikat kryptographisch signiert.
HINWEIS: Startet ein am API Server angemeldeter Benutzer den verwendeten Browser neu, werden das Cookie und die darin enthaltenen Sitzungsinformationen zurückgesetzt.
Verwandte Themen
