Аутентификация
Общая схема аутентификации по протоколу OAuth 2.0
Аутентификация реализуется по протоколу OAuth 2.0:
- Client — интегрируемое приложение;
- Resource server — сервер Timetta API;
- Authorization server — Timetta Passport;
- Access token — «ключ», который надо передать API для получения доступа;
- Refresh token — второй «ключ», который нужен для запроса обновления access token.
Примечание
Статья затрагивает только общие моменты в работе с OAuth 2.0. Для получения дополнительной информации о протоколе можно обратиться к официальному стандарту или многочисленным статьям в интернете.
Способы получения access token
Существует два способа получения access token:
- Получение API token (представляет собой обычный access token, но со сроком жизни в 1 год).
- Через стандартный механизм OAuth 2.0.
Получение access token через API token
Этот способ рекомендуется использовать в закрытом контуре, так как токен не обновляется в течение года, что снижает уровень безопасности.
Для получения API token воспользуйтесь статьёй.
Получение и обновление access token
Для интеграционных решений используется один Authorization Grant Type — Resource Owner Password. Чтобы пройти аутентификацию, необходимо использовать адрес электронной почты и пароль одного из пользователей системы.
Для получения access token и refresh token необходимо вызвать конечную точку:
[POST] https://auth.timetta.com/connect/token
Content-Type: application/x-www-form-urlencoded
client_id=external&scope=all offline_access&grant_type=password&username=*&password=*
В ответ передаются два токена. Время жизни access token — 1 час, а refresh token — 15 дней.
Примечание
Хранение логина и пароля не рекомендуется, особенно если «место хранения» не защищено. Вместо этого можно хранить refresh token и использовать его для обновления access token по мере необходимости.
Для обновления access token необходимо вызвать конечную точку:
[POST] https://auth.timetta.com/connect/token
Content-Type: application/x-www-form-urlencoded
client_id=external&scope=all offline_access&grant_type=refresh_token&refresh_token=*
В ответ также передаются два токена. То есть при каждом обновлении access token обновляется и refresh token, что обеспечивает более высокий уровень безопасности.
Примечание
Примеры получения access token приведены в Postman коллекции.
Обращение к API
В каждый запрос к API должен быть добавлен заголовок (header) Authorization в виде строки:
Bearer ACCESS_TOKEN