Autorizzazioni

Panoramica

In qualità di amministratore di sistema di Workplace, puoi controllare le funzionalità offerte a ciascuna integrazione creando app e concedendo loro specifiche autorizzazioni. A ogni app può essere assegnato un nome che rifletta il servizio che abilita. Le app sono dotate di token d'accesso e autorizzazioni uniche per controllare quali informazioni possono essere lette o scritte da quella specifica app.

Questa guida descrive più dettagliatamente l'app e il modello di autorizzazione.

L'autorizzazione controlla quando viene modificata un'app di integrazione personalizzata

Autorizzazioni disponibili

A ogni app Workplace può essere concesso un set specifico di autorizzazioni per il controllo del livello di funzionalità disponibile sull'API Graph e sull'API Account Management.

Quando creai un'app e concedi le autorizzazioni, queste ultime vengono applicate a tutti gli account della tua community. I titolari degli account non devono concedere autorizzazioni aggiuntive all'app per trarre vantaggio dalla sua funzionalità. Tale condizione è diversa dal modello di autorizzazione su Facebook, in cui ogni utente concede singolarmente le autorizzazioni a un'app al momento dell'accesso.

Di seguito è riportata una lista completa delle autorizzazioni dell'app disponibili per le integrazioni, insieme a una panoramica del modo in cui possono essere utilizzate.

Autorizzazioni a livello del gruppo

Per alcune autorizzazioni è possibile limitare un'integrazione affinché sia abilitata su gruppi specifici. Tale condizione ti consente di limitare l'ambito dell'accesso di un'integrazione solo ai contenuti che desideri esporre.

Ad esempio, puoi consentire a un'integrazione di pubblicazione di avvisi di pubblicare solo nel gruppo di un team o consentire all'integrazione di un'app per i dipendenti di leggere i contenuti solo in specifici gruppi aperti.

Per specificare le autorizzazioni a livello del gruppo per un'integrazione personalizzata, utilizza la scheda Accesso al gruppo nella finestra di dialogo Modifica integrazione.

Abilitazione dell'autorizzazione a livello del gruppo per questa integrazione.

Le autorizzazioni a livello del gruppo si applicano alle seguenti autorizzazioni:

• Visualizzazione dei contenuti dei gruppi: consente di leggere i post, i commenti e i profili dei membri nei gruppi selezionati
• Gestione dei contenuti dei gruppi: consente di gestire i post e i commenti nei gruppi selezionati
• Gestione dei gruppi: consente di modificare o rimuovere i gruppi selezionati e i relativi membri

Puoi configurare un'integrazione in modo tale che le autorizzazioni a livello del gruppo possano essere applicate a Tutti i gruppi, Gruppi specifici a seconda della scelta di un amministratore di sistema, oppure Consenti agli amministratori di attivare l'opzione per i loro gruppi.

Procedura di installazione dell'amministratore

Quando viene abilitato Consenti agli amministratori di attivare l'opzione per i loro gruppi, un amministratore di un gruppo vedrà una nuova tab Integrazioni nella schermata Gestisci il gruppo, che consentirà di abilitare l'integrazione nel gruppo specifico.

Un'app di esempio che ora può essere abilitata dall'amministratore del gruppo.

Token dell'app e utilizzo

Quando crei una nuova app per Workplace, viene generato un token d'accesso da utilizzare con l'API Graph, l'API Account Management o i webhook.

Questo token d'accesso verrà mostrato solo una volta, quindi è importante memorizzare il token in modo sicuro per utilizzarlo in seguito nel codice.

La procedura di reimpostazione del token per un'app di integrazione personalizzata

I token dell'app Workplace non scadono mai e non è necessario aggiornarli a meno che non siano stati reimpostati manualmente. Se modifichi le autorizzazioni disponibili per una determinata app, il token esistente continuerà a funzionare e non dovrai generare un nuovo token.

Se dovessi aver bisogno di invalidare un token, puoi reimpostarlo tramite il pulsante Reimposta token d'accesso nella finestra di dialogo Modifica app. Verrà generato e visualizzato un nuovo token e quello esistente verrà immediatamente invalidato.

Sicurezza dei token

I token d'accesso sono importanti; concedono l'accesso ai dati dell'azienda su Workplace. Quando crei un'app, prendi in considerazione il set minimo di autorizzazioni necessarie per completare le funzioni di integrazione e non concedere autorizzazioni non necessarie.

Quando memorizzi i token o li aggiungi ai repository di codice, assicurati che non vengano condivisi con le persone sbagliate.

Per aggiungere un ulteriore livello di sicurezza per le integrazioni, devi aggiungere una lista di IP autorizzati, che applicherà restrizioni all'utilizzo dei token solo ai server compresi nella lista di indirizzi IP autorizzati.

Aggiunta di una lista di IP autorizzati per applicare restrizioni all'utilizzo del token a server specifici e richiesta della verifica della chiave segreta

Rimozione automatica delle autorizzazioni non utilizzate

Se un'integrazione personalizzata non effettua chiamate utilizzando una specifica autorizzazione per 30 giorni, quest'ultima verrà rimossa. Dopo che tale situazione si è verificata una volta per un'integrazione personalizzata, sarà disponibile un'opzione per interrompere questa procedura di rimozione.

Se è stata configurata un'iscrizione al webhook valida, i webhook inviati da quest'ultima contano come utilizzo dell'autorizzazione pertinente.

Controlli per la rimozione automatica delle autorizzazioni

Verifica della chiave segreta

I token d'accesso per Workplace non scadono. Le integrazioni personalizzate possono richiedere una verifica della chiave segreta per aggiungere un ulteriore livello di sicurezza. L'abilitazione dell'opzione "Richiedi la verifica della chiave segreta" assicura che le chiamate all'API vengano effettuate solo dal codice lato server; quando si effettuano chiamate all'API, sarà richiesta una verifica della chiave segreta in scadenza insieme a un token d'accesso.

Per generare una verifica della chiave segreta in scadenza, dovrai concatenare il token con un'indicazione temporale unix separata da un simbolo di barra verticale |, e quindi creare una procedura di hashing SHA-256 della stringa concatenata utilizzando la chiave segreta come chiave. Di seguito un esempio in PHP:

$appsecret_proof = hash_hmac('sha256', $access_token.'|'.time(), $app_secret); 

Per effettuare le chiamate all'API con la verifica della chiave segreta, passa l'hash generato tramite il parametro appsecret_proof insieme a appsecret_time impostato sull'indicazione temporale utilizzata durante la procedura di hashing della chiave segreta, insieme al token d'accesso.

GET https://graph.facebook.com/v2.9/community/groups?
&access_token={access-token}
&appsecret_proof={appsecret_proof}
&appsecret_time={appsecret_time}

Esplorazione della funzionalità dell'API con Postman

Postman è uno strumento ampiamente utilizzato per lavorare con le API web. Potrebbe sembrarti comodo esplorare l'API Workplace utilizzando Postman, ma il parametro $appsecret_proof presenta una complicazione. Infatti, poiché questo valore deve essere calcolato e scade dopo cinque minuti, la situazione sarebbe più semplice se Postman potesse generare il valore al momento della richiesta. In effetti Postman può eseguire tale operazione utilizzando le sue funzioni di script di pre-richiesta e parametri. Questo script può essere utilizzato come punto di partenza:

// Add to Postman's Pre-request Script Tab
var access_token = "replace-me";
var app_secret = "replace-me";
var time = (new Date().getTime()/1000|0);
postman.setEnvironmentVariable("access_token", access_token)
postman.setEnvironmentVariable("appsecret_time", time);
postman.setEnvironmentVariable("appsecret_proof", CryptoJS.HmacSHA256(access_token + '|' + time, app_secret));

1) Creazione di un ambiente attivo (non ne esiste uno per impostazione predefinita), quindi 2) aggiunta di questi tre parametri, che vengono calcolati dallo script di pre-richiesta.