Autenticación Machine to Machine con Express y Auth0

Curso de Auth0: Implementación de Autenticación y Seguridad Web

Contenido del curso

Introducción a Auth0

Conexiones sociales

Conexiones sin password

Protegiendo una API

Auth0 SDKs

Administración de usuarios

Reglas y Acciones en Auth0

Multifactor Authentication

Casos en producción

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0010:37

Autenticación Machine to Machine con Express y Auth0

Curso de Auth0: Implementación de Autenticación y Seguridad Web

Clase 15 de 28

Clase 15 / 28

Recursos

¿Cómo implementar autenticación machine to machine usando Express?

La autenticación backend a backend, o machine to machine, es esencial para asegurar la comunicación entre APIs. En esta sesión, exploraremos cómo configurar esta autenticación utilizando el framework Express y Auth0. Siguiendo un proceso detallado y utilizando los Quickstarts de Auth0, podrás implementar este tipo de autenticación de manera eficiente.

¿Qué pasos seguir para configurar Auth0?

Crear y configurar una nueva API:
- Accede al dashboard de Auth0 y crea una nueva API.
- Define un identificador, por ejemplo, https://machine-to-machine.failure.go.
Definir permisos y scopes:
- Una vez creada la API, es crucial establecer permisos.
- Un ejemplo podría ser el permiso read:messages, necesario para leer mensajes a través de la API.

¿Cómo proteger el servidor con Express y Auth0?

Una vez configurada la API, es el momento de integrar la protección en el backend utilizando Express.

Configurar middleware de autenticación:

Instala el paquete express-oauth2-jwt-bearer. Este paquete es fundamental para validar tokens JWT en tus endpoints.
Crea el middleware encargándose de controlar la autenticación:

const { auth, requiredScopes } = require('express-oauth2-jwt-bearer');
const checkJwt = auth({
    audience: 'https://machine-to-machine.failure.go',
    issuerBaseURL: `https://tu-dominio.auth0.com/`,
});

Proteger endpoints privados:

Asegúrate de que tu API tenga un endpoint protegido que requiera autenticación:

app.get('/api/private', checkJwt, (req, res) => {
    res.send('Hello from a private endpoint! You need to be authenticated to see this.');
});

Validar scopes en endpoints específicos:

Añade validación de scopes para controlar el acceso a ciertos recursos:

app.get('/api/private-scoped', checkJwt, requiredScopes('read:messages'), (req, res) => {
    res.send('Hello from a private endpoint with scope! You need to be authenticated and have the right scope to see this.');
});

¿Cómo realizar pruebas de nuestra implementación?

Para asegurarte de que la implementación está correcta, es importante realizar pruebas utilizando un cliente de test.

Crear y autorizar una aplicación de pruebas:
- Desde la tab de pruebas en Auth0, genera un cliente de test.

Pedir y probar un access token:

Obtén un access token y realiza peticiones para verificar el acceso a tus endpoints protegidos:

curl --request GET \
  --url http://localhost:3010/api/private \
  --header 'Authorization: Bearer YOUR_ACCESS_TOKEN'

Verificar acceso a endpoints con scopes:
- Realiza una nueva petición con el scope necesario para asegurar que la validación de scopes también funciona correctamente:
```
curl --request GET \
  --url http://localhost:3010/api/private-scoped \
  --header 'Authorization: Bearer YOUR_ACCESS_TOKEN_WITH_SCOPE'
```

Con este enfoque, puedes asegurar que tu implementación de machine to machine es robusta, efectiva, y está lista para proteger tus datos. No dudes en experimentar y expandir este ejemplo usando otros frameworks de backend como Django. ¡La práctica es la clave para el dominio de habilidades!

Resumen

¿Cómo implementar autenticación machine to machine usando Express?

¿Qué pasos seguir para configurar Auth0?

Crear y configurar una nueva API:
- Accede al dashboard de Auth0 y crea una nueva API.
- Define un identificador, por ejemplo, https://machine-to-machine.failure.go.
Definir permisos y scopes:
- Una vez creada la API, es crucial establecer permisos.
- Un ejemplo podría ser el permiso read:messages, necesario para leer mensajes a través de la API.

¿Cómo proteger el servidor con Express y Auth0?

Una vez configurada la API, es el momento de integrar la protección en el backend utilizando Express.

Configurar middleware de autenticación:

Instala el paquete express-oauth2-jwt-bearer. Este paquete es fundamental para validar tokens JWT en tus endpoints.
Crea el middleware encargándose de controlar la autenticación:

const { auth, requiredScopes } = require('express-oauth2-jwt-bearer');
const checkJwt = auth({
    audience: 'https://machine-to-machine.failure.go',
    issuerBaseURL: `https://tu-dominio.auth0.com/`,
});

Proteger endpoints privados:

Asegúrate de que tu API tenga un endpoint protegido que requiera autenticación:

app.get('/api/private', checkJwt, (req, res) => {
    res.send('Hello from a private endpoint! You need to be authenticated to see this.');
});

Validar scopes en endpoints específicos:

Añade validación de scopes para controlar el acceso a ciertos recursos:

app.get('/api/private-scoped', checkJwt, requiredScopes('read:messages'), (req, res) => {
    res.send('Hello from a private endpoint with scope! You need to be authenticated and have the right scope to see this.');
});

¿Cómo realizar pruebas de nuestra implementación?

Para asegurarte de que la implementación está correcta, es importante realizar pruebas utilizando un cliente de test.

Crear y autorizar una aplicación de pruebas:
- Desde la tab de pruebas en Auth0, genera un cliente de test.

Pedir y probar un access token:

Obtén un access token y realiza peticiones para verificar el acceso a tus endpoints protegidos:

curl --request GET \
  --url http://localhost:3010/api/private \
  --header 'Authorization: Bearer YOUR_ACCESS_TOKEN'

Verificar acceso a endpoints con scopes:
- Realiza una nueva petición con el scope necesario para asegurar que la validación de scopes también funciona correctamente:
```
curl --request GET \
  --url http://localhost:3010/api/private-scoped \
  --header 'Authorization: Bearer YOUR_ACCESS_TOKEN_WITH_SCOPE'
```

Introducción a Auth0

Qué es Auth0 y cómo difiere de OAuth

Qué es Auth0 y cómo gestiona identidades

Implementación y Personalización de Universal Login con Auth0

Autenticación Rápida con SDK de Next.js y Auth0

Conexiones sociales

Implementación de Login Social con GitHub en Auth0

Login con Twitch usando Auth0

Login con Discord usando OAuth en Auth0

Conexiones sin password

Login con SMS usando Auth0 y Twilio

Passwordless con email en Auth0

Protegiendo una API

Cómo usar el Auth0 Management API

Registrar una API externa en Auth0

Protección de Endpoints con Auth0 y Access Tokens

Auth0 SDKs

Integración de Auth0 SDK en Aplicaciones React

Implementación de SDK en Express para Autenticación con Auth0

Autenticación Machine to Machine con Express y Auth0

Administración de usuarios

Gestão de utilizadores no painel Auth0

Roles y permisos en Auth0 paso a paso

Reglas y Acciones en Auth0

Reglas vs acciones en Auth0

Implementación de Gravatar en Auth0 para Perfiles con Alias de Gmail

Acciones vs Reglas en Auth0

Multifactor Authentication

Implementación de Multi-Factor Authentication con Auth0

Login sin contraseña con WebAuthn y FIDO

Implementación de One-Time Password en Auth0

Casos en producción

Monitoreo de logs y amenazas en Auth0

Integración de Firebase Authentication y Auth0 en Next.js

Autenticación Firebase con Auth0 y custom tokens

Reglas de Firestore basadas en custom claims

Checklist de Auth0 antes de salir a producción

Autenticación Machine to Machine con Express y Auth0