API kimliğini kişisel erişim belirteci ile kolaylaştırın — Daha güvenli bir API belirteci

Kişisel Erişim Belirteçleri (PAT'ler) API çağrılarında şifrelerin yerini alan kullanıcı tarafından oluşturulan belirteçlerdir. Belirli kullanıcılar için tasarlanan PAT'ler, kaynaklara güvenli ve kontrollü erişim sağlar.

Kolay kimlik doğrulama. Ayrıntılı erişim kontrolü. Hızlandırılmış iş akışları. Bunlar, dünya çapında geliştiricilerin ve ürün ekiplerinin, CI/CD boru hatlarını yönetirken, API'leri entegre ederken veya araçlara erişirken verimliliği artırmak için kişisel erişim belirteçlerine güvenmesinin birkaç nedenidir.

PAT'lerin nasıl çalıştığını, faydalarını veya ne zaman kullanmanız gerektiğini merak mı ediyorsunuz? Bu kılavuz sizin için hazır.

Kişisel erişim belirteci nedir?#

Kişisel bir erişim belirteci, kişisel kaynaklarınıza ve hizmetlerinize API'ler aracılığıyla erişmeniz için geçici ve güvenli bir kimlik doğrulama yöntemidir. Genellikle geliştiriciler tarafından API'lere erişim veya iş akışlarını otomatikleştirme gibi görevleri daha basit ve verimli hale getirmek için kullanılır.

Kişisel bir erişim belirtecini API erişimi için bir "anahtar" olarak düşünün, şifreye olan ihtiyacı ortadan kaldırır. Şifrenin aksine, PAT'lerin belirli izinleri ve son kullanma tarihleri vardır, bu da yalnızca kullanıcı profilleri veya faturalama sistemlerine erişim gibi amaçlar için kullanılmalarını sağlar, yönetici kontrolleri için değil.

Kişisel erişim belirteçlerinin ana özellikleri:

• Geliştirici dostu: Kişisel erişim belirteçleri, tam OAuth iş akışlarından daha kolay yönetilir, bu da onları betikler, otomasyon veya CI/CD boru hatları için ideal hale getirir.
• Çok sayıda belirteç: Kullanıcılar, her biri belirli bir hizmete veya amaca adanmış birden fazla kişisel erişim belirteci oluşturup yönetebilir.
• Kullanıcıya özgü erişim: Küresel API anahtarlarının aksine, kişisel erişim belirteçleri bireysel kullanıcı hesaplarına bağlıdır. Bu, ekip üyelerinin paylaşılan erişim için ayrı belirteçler oluşturması gerektiği anlamına gelir.
• Ayrıntılı izinler: Kişisel erişim belirteçleri ile yalnızca gerekli olan kaynaklara ve eylemlere erişim sağlayarak belirli kapsamlar tanımlayabilirsiniz.
• Zaman sınırlı erişim: Kişisel erişim belirteçleri, ifşaat durumunda risk penceresini azaltarak, son kullanma tarihleri ile yapılandırılabilir.
• Kolay iptal: Şifrelerin aksine, kişisel erişim belirteçleri bir hesabın birincil kimlik bilgilerini tehlikeye atmadan iptal edilebilir veya yeniden oluşturulabilir.

Kişisel erişim belirteci vs. Taşıyıcı belirteci vs. API belirteci#

1. Kişisel erişim belirteci bir tür API belirtecidir: Kişisel bir erişim belirteci, bir kullanıcı hesabı ile ilişkilendirilmiş bir tür kullanıcı seviyesinde API belirteci olup, kullanıcı adına sistem kaynaklarına erişim izni verir. PAT'ler, belirli depolar veya organizasyonlarla erişimi kısıtlamak gibi izinler üzerinde ince ayar yapma olanağı sağladıkları ve ek güvenlik için son kullanma tarihleri belirlenebildiği için geleneksel API anahtarlarından daha güvenlidir.
2. Kişisel erişim belirteci, bir Taşıyıcı belirteci olarak kullanılabilir: Taşıyıcı belirteci, OAuth veya JWT gibi protokoller kullanılarak genellikle dinamik olarak oluşturulan bir API taleplerini yetkilendirme yoludur. Kişisel bir erişim belirteci, kullanıcı tarafından manuel olarak oluşturulan bir taşıyıcı belirtecinin statik versiyonudur (örneğin GitHub üzerinde). Örneğin, bir GitHub PAT kullanarak API çağrıları yapıldığında, bunu authorization: bearer <your-pat> olarak talep başlığında eklersiniz. Bu durumda, PAT bir taşıyıcı belirteci olarak işlev görür.
3. API belirteci genel bir terimdir: API belirteci, API isteklerini doğrulamak için kullanılan herhangi bir belirteç için genel bir terimdir. Farklı türleri içerir, örneğin taşıyıcı belirteçler, OAuth belirteçleri ve kişisel erişim belirteçleri. PAT'ler ve taşıyıcı belirteçler sadece API belirteçlerinin belirli türleridir.

Kimlik doğrulama ve kimlik yetkilendirme mekanizmalarınızı seçin#

Bir kişisel erişim belirteci benimsemeden önce, daha geniş bir kimlik doğrulama yöntemleri manzarasına olan rolünü anlamak önemlidir. Seçilebilecek birçok mekanizma ile karşılaştırmalarını bilmek önemlidir. İşte Kişisel erişim belirteçleri (PAT'ler), Şifreler, API Anahtarları ve OAuth belirteçleri arasında farkları anlamanıza yardımcı olacak kapsamlı bir tablo.

1. Kişisel erişim belirteci: Otomatikleştirilmiş görevler veya API erişimi için ideal olan hafif kimlik doğrulama yöntemi. İzinler üzerinde hassas, detaylı kontrol sağlar, güvenli ve özelleştirilmiş erişimi garanti eder.
2. Şifre: Kullanıcı arabirimi aracılığıyla kişisel hesaplara erişim sağlamak için kullanılan geleneksel bir kimlik doğrulama yaklaşımı. Hesap sahibinin aynı izinlerini verir, ek granülerlik sunmaz.
3. OAuth belirteci: Üçüncü taraf hizmetlere sınırlı erişim sağlamak için en güvenli yöntem. Kullanıcı, kimlik bilgilerini ifşa etmeden belirli erişim kapsamlarını tanımlayarak güvenlik ve esneklik sağlar.
4. API anahtarı: Genellikle API erişimini otomatikleştirmek için kullanılır, API anahtarları kişisel hesaplar yerine hizmet hesaplarına bağlanır. Ancak, PAT'ler veya OAuth ile mevcut detaylı izin kontrollerine sahip değildirler.

Kişisel erişim belirteci nasıl çalışır?#

Kişisel erişim belirteçleri, OAuth erişim belirteçleri gibi çalışır, ancak genellikle içeriği hakkında kullanıcı tarafından okunabilir veri içermeyen dizilerdir. GitHub gibi bir hizmetle kimlik doğrulaması yaptığınızda, kullanıcı hesabınıza bağlı ve belirli izinler verilen bir PAT oluşturabilirsiniz. Bu belirteç, bir API aracılığıyla özel bir depoya erişim gibi talepler yaparken şifre kullanmanın güvenli bir alternatifidir.

Genellikle bir PAT, bu örnekte gösterildiği gibi taleplerin başlıklarına eklenir:

PAT'inizi bu şekilde göndererek, hizmet kimliğinizi doğrulayabilir, belirtecinize bağlı izinleri değerlendirebilir ve talep edilen verileri sağlayabilir veya belirtilen eylemi gerçekleştirebilir.

Kişisel erişim belirteci nasıl kullanılır?#

• Kişisel bir erişim belirteci oluşturun: Kullandığınız platform aracılığıyla kişisel bir erişim belirteci oluşturarak başlayın. Ve erişim izinlerini tanımlamak için belirli kapsamları seçin (kapsamları).
• API taleplerini yetkilendirin: Kişisel erişim belirteciniz hazır olduğunda, güvenli erişim gerektiren hizmetlere talepleri yetkilendirmek için kullanın. API taleplerinizin yetkilendirme başlığı altında belirteci bir taşıyıcı belirteci olarak ekleyin.
• Kişisel bir erişim belirtecini iptal edin: Belirtecinizi devre dışı bırakmanız gerektiğinde, platformun kimlik doğrulama ayarları üzerinden sadece iptal edin. İptal edildiğinde, o belirteçle yapılan herhangi bir API talebi otomatik olarak reddedilecektir.

Kişisel erişim belirteçlerini ne zaman kullanmalıyım?#

Kişisel erişim belirteçleri, API'lerinize güvenli, geliştirici dostu ve kapsamlı erişim sağlamak gerektiği senaryolarda üstün yetenekler sunar. İşte bazı ideal kullanım durumları:

• Otomatikleştirilmiş görevler: Geliştiricilerin hassas kimlik bilgilerini gömmelerini gerektirmeyen API'lardan veri almak için mükemmel.
• Ayrıntılı izin kontrolü: Betiklere veya araçlara sınırlı izinler vererek, örneğin belirli depolara erişim gibi, tam hesap ayrıcalıklarının ifşa edilmeden hassas erişim sağlar.
• Geçici erişim: Süre sınırlı durumlar için ideal, erişim süresini kısıtlayarak güvenlik risklerini en aza indirir.
• Geliştirici erişiminin basitleştirilmesi: Bireysel geliştiricilere, tam bir OAuth yetkilendirme akışını yapılandırma karmaşıklığı olmadan erişim sağlamanın kullanışlı bir yolu.
• Üçüncü taraf entegrasyonu: Harici araçlarla belirli önceden tanımlanmış eylemlerle sınırlı erişim sağlayarak işlevselliği optimize edebilir. Örneğin, bir şirket proje yönetim aracı kullanıyorsa, üçüncü taraf entegrasyonu ekip üyelerinin görevleri oluşturmalarına veya durum güncellemelerini Slack sohbeti üzerinden doğrudan gerçekleştirmelerine izin vererek proje yönetim aracına tam erişim olmadan.

GitHub, 2013 yılından bu yana kişisel erişim belirteçlerinin kullanımını teşvik ediyor ve bu belirteçler basit ve esnek olmaları nedeniyle popüler hale geliyor. Birçok geliştirici aracı ve SaaS platformu PAT'leri destekliyor, bu da onları kullanımı kolay hale getiriyor ve geliştiricilerin favori tercihi yapıyor:

• GitHub/GitLab/Azure DevOps (Geliştirme araçları): CI/CD otomasyonunu yapmayı, diğer araçlarla bağlantı kurmayı ve kod depolarını yönetmeyi kolaylaştırır.

  

• Figma (Tasarım araçları): API entegrasyonlarını kullanarak tasarımlar üzerinde iş birliği yapmayı kolaylaştırır.

  

• Atlassian Jira / Asana (Proje yönetimi): Görevler oluşturmayı, güncellemeyi veya silmeyi, sprintleri yönetmeyi ve projeleri API'ler kullanarak organize etmeyi kolaylaştırır.

  

Kişisel erişim belirtecini diğer kullanıcılarla paylaşabilir miyim?#

Kısa cevap—Hayır, paylaşmamalısınız.

Belirteçler bireysel hesaba bağlı olmalı ve asla paylaşılmamalıdır. Başkalarının erişime ihtiyacı varsa, kendi izinleriyle benzersiz belirteçler oluşturmak veya kullanıcı rolleri ayarlamak daha iyidir, böylece güvenlik riskleri önlenir. Belirteçlerin kötü kullanılması istenmeyen erişime, verilerin tehlikeye atılmasına veya gizlilik ihlallerine yol açabilir. Belirteçleri özel tutun ve tehlikede olduğunu düşündüğünüz herhangi bir belirteci iptal edin.

Logto ile uygulamanızı kişisel erişim belirteçleri oluşturacak şekilde etkinleştirin#

B2B hizmetleri sunuyor veya son teknoloji AI ürünleri geliştiriyorsanız, geliştirici dostu kimlik doğrulama ve yetkilendirme uygulamak önemlidir. Kişisel bir erişim belirteci işinizin yeni fırsatlarını açabilir.

Logto, kapsamlı bir Müşteri Kimliği ve Erişim Yönetimi (CIAM) çözümü olarak, kişisel erişim belirteçlerini kolayca oluşturmanıza, yönetmenize ve iptal etmenize olanak tanır. İşte nasıl başlayabileceğiniz:

1. Logto Konsolu > Kullanıcı Yönetimi bölümüne gidin.
2. Kişisel erişim belirteçlerini yönetmek için belirli bir kullanıcının profiline erişin.

Logto ile:

• Yeni kişisel erişim belirteçleri oluşturabilirsiniz.
• Tek bir kullanıcı için birden fazla belirteci yönetebilirsiniz.
• Belirteçler için özel son kullanma tarihleri ayarlayabilirsiniz.
• Daha iyi organizasyon için belirteçleri yeniden adlandırabilirsiniz.
• Artık ihtiyaç duyulmadıklarında belirteçleri iptal edebilirsiniz.

Ayrıca, kullanıcıların profil ayarları sayfalarında kendi kişisel erişim belirteçlerini Logto Yönetim API'leri aracılığıyla kendi başlarına yönetmelerini sağlayabilirsiniz.