Stratégies d’accès des applications à l’API

Découvrez comment configurer les stratégies d’accès des applications à l’API.

Les stratégies d’accès des applications à l’API vous permettent de contrôler la façon dont les applications accèdent à vos API enregistrées dans Auth0. Ces stratégies définissent la manière dont les applications interagissent avec une API, notamment si elles peuvent obtenir un jeton d’accès pour accéder aux ressources de l’API.

Vous pouvez configurer la stratégie d’accès des applications à l’API pour chaque API enregistrée dans Auth0 Dashboard. Pour en savoir plus, consultez Configurer la stratégie d’accès des applications à l’API.

​

Accès délégué par l’utilisateur vs. accès de l’application

Vous pouvez configurer des stratégies distinctes d’accès des applications à l’API pour l’accès délégué par l’utilisateur et l’accès de l’application (machine à machine) :

• Accès de l’application : utilisé pour l’accès machine à machine, ce qui correspond au flux d’identification du client.
• Accès délégué par l’utilisateur : utilisé pour tous les flux d’accès qui génèrent un jeton d’accès associé à un utilisateur final et permettant à l’application d’accéder à une API au nom de l’utilisateur. Les flux d’accès délégué par l’utilisateur n’incluent pas le flux d’identification du client. Pour en savoir plus sur les flux d’accès délégué par l’utilisateur, consultez Flux d’authentification et d’autorisation.

​

Stratégies d’accès des applications à l’API

Les stratégies d’accès des applications à l’API sont les suivantes :

Stratégie	Description	Flux d’accès
All apps allowed	Lorsqu’elle est configurée pour une API, toute application de votre locataire peut obtenir un jeton d’accès pour l’API. Aucune autorisation d’application particulière n’est requise.	Valeur par défaut pour l’accès délégué par l’utilisateur lorsque vous créez une API. Vous pouvez uniquement configurer allow_all pour l’accès délégué par l’utilisateur.
Per-app authorization	Lorsqu’elle est configurée pour une API, seules les applications ayant une autorisation d’application définie peuvent obtenir un jeton d’accès pour l’API. L’autorisation d’application établit les autorisations maximales qu’une application peut demander à l’API. Pour en savoir plus sur la création et la gestion des autorisations d’application, consultez Accès des applications aux API : autorisations d’application.	Valeur par défaut pour le flux d’identification du client lorsque vous créez une API.
No apps allowed	Lorsqu’elle est configurée pour une API, aucune application ne peut obtenir de jeton d’accès pour l’API, quels que soient les autres paramètres ou octrois. L’accès est entièrement restreint.	Vous pouvez configurer deny_all pour l’accès utilisateur comme pour l’accès de l’application.

Lors de la configuration de la stratégie d’accès des applications pour une API, Auth0 recommande d’utiliser Per-app authorization, car cette option applique le principe du moindre privilège. Pour en savoir plus, consultez Accès des applications aux API : autorisations d’application.

Lorsque vous définissez la stratégie d’accès des applications d’une API sur Per-app authorization, vous devez fournir explicitement les scopes requis dans la demande de jeton. Cela ne s’applique pas aux demandes de jeton d’actualisation : si vous omettez les scopes, le serveur d’autorisation suppose que l’application veut tous les scopes qui lui ont été accordés dans le jeton d’accès d’origine. Par conséquent, le serveur d’autorisation renvoie un jeton d’accès avec les mêmes scopes que ceux initialement accordés par le propriétaire de la ressource.

​

Configurer la stratégie d’accès des applications à l’API

Vous pouvez configurer la stratégie d’accès des applications à une API dans l’Auth0 Dashboard ou avec la Management API.

Auth0 Dashboard

Pour configurer la stratégie d’accès des applications à une API :

1. Accédez à Dashboard > Applications > APIs et sélectionnez votre API.
2. Sélectionnez l’onglet Settings et faites défiler la page jusqu’à Application Access Policy pour configurer les stratégies User-Delegated Access et Client Access.
   • Définissez la stratégie User-Delegated Access sur All apps allowed, Per-app authorization ou No apps allowed.
     • All apps allowed : les applications sont autorisées à accéder à l’API au nom de l’utilisateur.
     • Per-app authorization : les applications doivent disposer d’une autorisation d’application pour accéder à l’API au nom de l’utilisateur.
     • No apps allowed : l’accès à l’API au nom de l’utilisateur est refusé aux applications.
   • Définissez la stratégie Client Access sur Per-app authorization ou No apps allowed.
     • Per-app authorization : les applications machine-à-machine sont autorisées à accéder à cette API tant qu’elles disposent de l’autorisation d’application correspondante.
     • No apps allowed : restreint l’accès machine-à-machine à cette API.
3. Sélectionnez Save pour enregistrer Application Access Policy.

Lorsque Per-app authorization est la stratégie configurée pour l’API, sélectionnez l’onglet Application Access, puis Edit pour autoriser User-Delegated Access, Client Access ou les deux pour chaque application.

• Pour User-Delegated Access, sélectionnez Grant Access, puis les permissions souhaitées. Vous pouvez également sélectionner Always grant all permissions.
• Pour Client Access, sélectionnez Grant Access, puis les permissions souhaitées. Vous pouvez également sélectionner Always grant all permissions. Pour Organization Support, sélectionnez :
  • None : l’accès machine-à-machine ne peut pas être limité à une organisation.
  • Optional : l’accès machine-à-machine peut être limité à une organisation.
  • Required : l’accès machine-à-machine doit être limité à une organisation.

Management API

Vous pouvez configurer la stratégie d’accès des applications à une API en mettant à jour sa propriété subject_type_authorization dans la collection resource-servers de la Management API.

L’objet subject_type_authorization contient deux objets imbriqués, user et client, chacun ayant un attribut policy que vous pouvez définir sur l’une des trois stratégies d’accès décrites dans Application API access policies.

API existante

Pour configurer la stratégie d’accès des applications pour une API existante, envoyez une requête PATCH au point de terminaison /resource-servers/{id} :

curl --location --request PATCH 'https://{yourDomain}/api/v2/resource-servers/{RESOURCE_SERVER_ID}' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
--data '{
    "subject_type_authorization": {
        "user": {
            "policy": "require_client_grant"
        },
        "client": {
            "policy": "deny_all"
        }
    }
}'

Nouvelle API

Pour configurer la stratégie d’accès des applications lors de la création d’une nouvelle API, envoyez une requête POST au point de terminaison /resource-servers :

curl --location 'https://{yourDomain}/api/v2/resource-servers' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
--data '{
  "name": "{YOUR_NEW_API_NAME}",
  "identifier": "{YOUR_NEW_API_IDENTIFIER}",
  "scopes": [
    {
      "value": "{SCOPE_VALUE}",
      "description": "{SCOPE_DESCRIPTION}"
    }
  ],
  "subject_type_authorization": {
    "user": {
      "policy": "require_client_grant"
    },
    "client": {
      "policy": "deny_all"
    }
  }
}'

​

Stratégies d’accès à l’API et applications tierces

Les applications tierces nécessitent toujours une autorisation d’application explicite pour accéder à une API, quelle que soit la stratégie d’accès configurée pour cette API.

Stratégie d’accès à l’API	Applications de première partie	Applications tierces
Tout autoriser	Accès accordé	Nécessite une autorisation d’application
Exiger une autorisation d’application	Nécessite une autorisation d’application	Nécessite une autorisation d’application
Refuser	Accès refusé	Accès refusé

Vous pouvez aussi configurer les autorisations par défaut pour toutes les applications tierces :

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Sous l’onglet Settings, accédez à Default Permissions for Third Party Applications.
3. Sélectionnez Authorized pour User-delegated Access ou Client Access, puis sélectionnez les scopes à accorder.
4. Sélectionnez Save.

Pour en savoir plus, consultez Configure API Access Policies for Third-Party Applications.

Certains locataires existants peuvent avoir des applications tierces dont le comportement en matière de stratégie d’accès diffère. Pour en savoir plus, consultez Permissive Mode for Third-Party Applications.

​

En savoir plus

• Accès des applications aux API : autorisations d’application
• Applications tierces
• Contrôle de sécurité pour les applications tierces