![\"\"](\"http:\/\/blogs.encamina.com\/piensa-en-software-desarrolla-en-colores\/wp-content\/uploads\/sites\/21\/2023\/05\/api-management-3.jpg\")
<\/h2>\n<\/h2>\nAzure API Management ofrece la capacidad de delegaci\u00f3n, la cual permite que un sitio web externo gestione la informaci\u00f3n de los usuarios, en lugar de utilizar las funciones integradas del Developers Portal. En este art\u00edculo, nos centraremos espec\u00edficamente en la delegaci\u00f3n de la gesti\u00f3n de suscripciones a productos en Azure Api Management.<\/p>\n
<\/p>\n
El Azure API Management (APIM) proporciona una capacidad llamada \u00abDelegaci\u00f3n\u00bb, la cual s\u00f3lo est\u00e1 disponible en los planes \u00abDeveloper\u00bb, \u00abBasic\u00bb, \u00abStandard\u00bb y \u00abPremium\u00bb del\u00a0 recurso.<\/p>\n
Gracias a esta capacidad, el APIM permite que un sitio web externo se apropie de los datos de los usuarios desde el Developers Portal y realice una validaci\u00f3n personalizada. Con la\u00a0 delegaci\u00f3n, por ahora, se pueden controlar aspectos tales como el registro e inicio de\u00a0 sesi\u00f3n de usuarios en el Developers Portal, y la gesti\u00f3n de subscripciones a productos, en lugar de que se emplee la funcionalidad integrada del propio Developers Portal.<\/p>\n
Para esta publicaci\u00f3n, nos interesa concretamente la delegaci\u00f3n de la gesti\u00f3n de las\u00a0 subscripciones a productos, la cual sigue el siguiente flujo de trabajo:<\/p>\n
La delegaci\u00f3n de servicios del APIM se puede realizar f\u00e1cilmente desde el Azure Portal como se muestra en la siguiente imagen:<\/p>\n
Es fundamental saber que no existe una \u00abDelegation Validation Key\u00bb hasta tanto no le\u00a0 demos al bot\u00f3n de generar y salvemos los cambios. Una vez hecho eso, guardar en un lugar seguro el valor del \u00abDelegation Validation Key\u00bb ya que lo necesitaremos m\u00e1s adelante (aunque perfectamente podemos volver a esta pantalla para recuperarlo o generar uno nuevo).<\/p>\n La delegaci\u00f3n de capacidades desde el Azure API Management (APIM) requiere la implementaci\u00f3n de una aplicaci\u00f3n web, no de una API (REST) como podr\u00edamos pensar. Es fundamental que la aplicaci\u00f3n proporcione las pantallas necesarias para que los usuarios puedan suministrar la informaci\u00f3n que necesitemos como relevante para nuestra gesti\u00f3n de sus subscripciones. Para este ejemplo, y la integraci\u00f3n con Stripe, s\u00f3lo necesitamos que el usuario nos suministre el nombre de la subscripci\u00f3n.<\/p>\n Esta aplicaci\u00f3n web la podemos programar con el lenguaje de programaci\u00f3n que mejor se adapte a nuestra forma de trabajar, y que se puede desplegar en cualquier tipo de recursos que consideremos apropiado.<\/p>\n Para esta demo, he querido crear una arquitectura totalmente \u00abCloud Native\u00bb, por lo cual eleg\u00ed desarrollar la aplicaci\u00f3n web como una imagen Docker que perfectamente podr\u00edamos desplegar en un Azure Web Application for Docker, un Azure Container Instance o un Azure Kubernetes Service; sin embargo, he elegido la opci\u00f3n m\u00e1s de moda en cuanto a rendimiento, costo y capacidades que son las Azure Container Applications (ACA).<\/p>\n Como leguaje de programaci\u00f3n he elegido C# con .NET 6 porque es mi favorito, aunque todo lo implementado es perfectamente realizable con otros lenguajes.<\/p>\n En el ejemplo he decidido usar ASP.NET MVC con Razor como tecnolog\u00eda de implementaci\u00f3n.<\/p>\n Recordemos que Azure, y m\u00e1s a\u00fan nuestra aplicaci\u00f3n, no estar\u00e1n certificadas en PCI-DSS<\/a>, raz\u00f3n por la cual tenemos que redirigir a las pantallas de Stripe (fuera del contexto de nuestra aplicaci\u00f3n y de Azure) para obtener esta informaci\u00f3n. Otra alternativa es incrustar las pantallas de Stripe en un <iframe\\><\/span> pero muchas veces encuentro eso m\u00e1s laborioso e innecesario.<\/p>\n Como nuestra aplicaci\u00f3n se va a integrar con Stripe, primero es necesario tener una referencia a su API a trav\u00e9s de una librer\u00eda que nos permite usarla con C#. Para ello nos basta con usar el paquete NuGet que nos proporciona la misma gente de Stripe aqu\u00ed<\/a>: https:\/\/www.nuget.org\/packages\/Stripe.net\/<\/a>.<\/p>\n Luego, necesitamos configurar algunos par\u00e1metros que conservaremos en el appsettings.json<\/span> de nuestra aplicaci\u00f3n y que recuperaremos con una clase de opciones como la siguiente:<\/p>\n Necesitaremos:<\/p>\n Para trabajar con el APIM desde c\u00f3digo C#, lo m\u00e1s conveniente es usar el Para poder usar las librer\u00edas de este paquete necesitamos ciertos valores a obtener de nuestra instancia del APIM a conservar en el appsettings.json de nuestra aplicaci\u00f3n y que recuperaremos con una clase de opciones como la siguiente:<\/p>\n Necesitaremos:<\/p>\n Con este paquete agregado a nuestro proyecto de aplicaci\u00f3n web, y los valores de integraci\u00f3n ya configurados, s\u00f3lo necesitamos registrarlos en nuestro Program.cs de la siguiente forma:<\/p>\n Cada vez que el APIM env\u00ede una delegaci\u00f3n de operaciones, lo har\u00e1 a una ruta que hayamos definido al configurar la delegaci\u00f3n, y siempre acompa\u00f1ada de un par\u00e1metro (por query string) llamado \u00aboperation\u00bb que identifica la operaci\u00f3n que el usuario quiere realizar.<\/p>\n Lo recomendable aqu\u00ed es que tengamos un solo controlador para recibir las peticiones desde el APIM que se encargue de extraer el valor del par\u00e1metro \u00aboperation\u00bb para enrutar al siguiente controlador que se encargar\u00e1 de efectivamente ejecutar la l\u00f3gica de la operaci\u00f3n.<\/p>\n En el c\u00f3digo de ejemplo encontrar\u00e1s dentro del directorio Pages la p\u00e1gina Index.cshtml que contiene la l\u00f3gica de enrutamiento de las peticiones que llegan desde el APIM.<\/p>\n En concreto nos interesan dos operaciones:<\/p>\n Ahora procedemos a crear una interfaz que defina las operaciones que realizaremos desde c\u00f3digo con C# sobre el Azure API Management usando el paquete NuGet importado anteriormente.<\/p>\n Cada una de estas operaciones est\u00e1n implementadas en la clase ApiService, la cual usamos como un Singleton que registramos en nuestro contenedor de dependencias en el Program.cs.<\/p>\n El constructor de la clase ApiService se encarga de crear una instancia de la clase ArmClient (que obtenemos del paquete NuGet) la cual a su vez necesita de las credenciales de Azure para operar correctamente.<\/p>\n La clase ArmClient es como un cliente agn\u00f3stico del tipo de servicio o recurso de Azure que vamos a gestionar. Para identificar el recurso del APIM necesitamos ciertos par\u00e1metros que hemos configurado en el appsettings.json y que obtenemos de la clase de opciones ApimServiceOptions, que son el identificador de la subscripci\u00f3n de Azure, el nombre del grupo de recursos y el nombre del servicio, los cuales usaremos para crear un identificador del recurso APIM gracias al m\u00e9todo \u00abCreateResourceIdentifier\u00bb de la clase \u00abApiManagementServiceResource\u00bb la cual representa un APIM junto con las operaciones de instancia que se pueden realizar el mismo.<\/p>\n En el c\u00f3digo anterior se obtiene una instancia de ApiManagementServiceResource<\/span>, que sirve para gestionar aspectos tales como las subscripciones. Sin embargo, existen muchas m\u00e1s como ApiManagementProductResource<\/span> que sirve para gestionar productos (por ejemplo, obtenerlos a partir de su identificador), ApiManagementUserResource<\/span> que sirve para gestionar los usuarios creados desde el Developer Portal, entre otros.<\/p>\n Cada m\u00e9todo de la interface IApimService<\/span> har\u00e1 uso de la instancia del ArmClient<\/span> creada en el constructor de ApimService<\/span> as\u00ed como del identificador de creado por ApiManagementUserResource<\/span> para obtener una instancia del servicio que se necesite para cada operatividad.<\/p>\n La interface (y su implementaci\u00f3n) definen las siguientes operaciones:<\/p>\n Un de los primeros m\u00e9todos a implementar es el ValidateRequest<\/span>, ya que cada vez que el APIM llama a una aplicaci\u00f3n externa en la delegaci\u00f3n de servicios, es fundamental verificar la validez de la llamada. Esta validaci\u00f3n se hace empleando el algoritmo de HMAC para verificaci\u00f3n de firmas con una encriptaci\u00f3n SHA-512.<\/p>\n As\u00ed, la implementaci\u00f3n del m\u00e9todo ValidateRequest<\/span> ser\u00eda la siguiente:<\/p>\n La clase HMACSHA512<\/span> la proporciona .NET 6 en System.Security.Cryptography<\/span>.<\/p>\n Como puedes ver, se emplea desde la configuraci\u00f3n el valor de la opci\u00f3n DelegationValidationKey<\/span>, que es utilizada para verificar que efectivamente la petici\u00f3n llega desde el APIM y que un potencial atacante no ha manipulado la petici\u00f3n. Esto importante porque para bien o para mal todas las peticiones del APIM hacia la aplicaci\u00f3n sobre la que delega operaciones env\u00eda los par\u00e1metros por URL (en forma de query strings<\/em>) con lo cual son \u00abcapturables\u00bb<\/em> por un potencial atacante.<\/p>\n Dependiendo de cada operaci\u00f3n que env\u00ede desde el APIM a la aplicaci\u00f3n externa de delegaci\u00f3n de servicios, se debe validar un conjunto espec\u00edfico de par\u00e1metros, los cuales podemos consultar en la documentaci\u00f3n oficial de Microsoft aqu\u00ed<\/a>: En el caso de nuestro c\u00f3digo tenemos las siguientes implementaciones:<\/p>\n Para cada situaci\u00f3n de delegaci\u00f3n necesitaremos controladores y pantallas concretas para atenderlas.<\/p>\n Cubrir todo el c\u00f3digo que las implementa en una publicaci\u00f3n como esta puede ser algo extenso (casi un libro \ud83e\udd13), con lo cual os indicar\u00e9 para qu\u00e9 es cada controlador y pantalla en la aplicaci\u00f3n web y os invito a que os clon\u00e9is el repo para revisarla y adaptarla a vuestras necesidades.<\/p>\n Al recibir el POST, una de las primeras cosas que se hacen es construir las URLs para escenarios de cancelaci\u00f3n y \u00e9xito del pago (ver l\u00edneas 12 a 32 en la siguiente imagen), las cuales necesitan una URL de retorno que se obtiene del lado cliente como se muestra en la imagen anterior, en la l\u00ednea morada dentro del recuadro verde.<\/p>\n Con esta informaci\u00f3n (l\u00edneas 36 a 75) se crea una sesi\u00f3n de Stripe.<\/p>\n N\u00f3tese como en las l\u00edneas 55 a 73 se especifica el precio a pagar, as\u00ed como las cantidades. El precio es obtenido desde Stripe empleado una instancia de su clase PriceService<\/span> e identificando el producto con el identificador de producto del APIM. Esto es posible porque cuando inicializamos Stripe con el script de PowerShell tomamos en cuenta la configuraci\u00f3n de productos del APIM, de la cual, entre otras cosas, se toma el identificador del producto para emplearlo tal cual como identificador en Stripe.<\/p>\n Creada la sesi\u00f3n de Stripe, basta con retornar su identificador como resultado del POST para que el c\u00f3digo del lado del cliente en su navegador (cuadro naranja dos im\u00e1genes m\u00e1s arriba) haga la redirecci\u00f3n.<\/p>\n Ahora bien, una vez que Stripe ha procesado el pago necesita comunicar al APIM que todo ha ido bien para que se realizan las acciones necesarias para que la subscripci\u00f3n est\u00e9 disponible para el usuario y sea visible en el Developer Portal.<\/p>\n Esta integraci\u00f3n con Stripe requiere de un webhook<\/em>, al cual Stripe enviar\u00e1 notificaciones sobre cambios en las subscripciones.<\/p>\n En concreto nos interesan tres eventos:<\/p>\n El webhook<\/em> est\u00e1 implementado por un Controller<\/span> llamado StripeWebhook<\/span>, y utiliza los m\u00e9todos de la interface IApimService<\/span> para atender a cada evento como seg\u00fan corresponda.<\/p>\n En caso de fallo de comunicaci\u00f3n, Stripe se encargar\u00e1 de constantemente llamar al webhook<\/em> para asegurar que las acciones necesarias se lleven a cabo. Por su parte, el\u00a0 webhook<\/em> puede notificar\u00eda a Stripe que todo est\u00e1 en orden simplemente retornando un valor booleano a true<\/span>.<\/p>\n Cuando los usuarios realizan llamadas a las APIs de cada Producto dentro del Azure API Management (APIM) deben hacer uso de una clave de subscripci\u00f3n que les identifica. Gracias a esta clave, una base de datos interna del APIM registra las llamadas (tanto totales, como segregadas por exitosas o fallidas) para que puedan ser reportadas en un informe que se puede utilizar para calcular cu\u00e1nto cobrar a dichos usuarios.<\/p>\n En esta demo usaremos una Azure Function para obtener esta informaci\u00f3n, procesarla y enviarla a Stripe.<\/p>\n La Azure Function se debe ejecutar peri\u00f3dicamente. Para la demo tengo puesto que se ejecute cada minuto, pero esto es un overkill<\/em> en toda regla. Lo suyo ser\u00eda que se ejecute cada 24 horas dentro de una ventana de tiempo que se considere \u00abapropiada\u00bb.<\/p>\n A la hora de recuperar informaci\u00f3n, hay que decidir que plataforma (el APIM o Stripe)\u00a0 consideramos como el maestro de los datos. En mi caso, para la demo he considerado que Stripe lleva la voz cantante en cuanto al estado de las subscripciones, raz\u00f3n por la cual comienza la ejecuci\u00f3n de la Azure Function recuperando las subscripciones activas desde Stripe. No obstante, otra alternativa es obtener las subscripciones activas desde el APIM y luego consultar Stripe. Eleg\u00ed este enfoque porque es el que realiza menos llamadas.<\/p>\n Una vez que tenemos las subscripciones activas desde Stripe, iteramos sobre \u00e9stas hasta que ya no queden subscripciones por procesar.<\/p>\n Por cada subscripci\u00f3n, se obtiene el identificador de esta en el APIM (el cual es\u00a0 almacenado como metadata en Stripe al crear la subscripci\u00f3n). Tambi\u00e9n se obtiene de la metadata un valor identificado como \u00ablast-usage-update<\/span>\u00bb el cual es utilizado para calcular que no existan espacios de tiempo entre los usos habidos de un API y sus usos reportados, tal que no se pierda datos de facturaci\u00f3n. Esto lo hago entre las l\u00edneas 26 y 39 de la\u00a0 siguiente imagen, aunque la mayor\u00eda de las veces es un c\u00f3digo que rara vez se ejecuta; no\u00a0 obstante, es importante entender que el \u00abtema del dinero\u00bb es delicado y que tenemos que\u00a0 considerar las casu\u00edsticas l\u00edmite (o borde) para asegurar que no se pierde facturaci\u00f3n.<\/p>\n N\u00f3tese que en la l\u00ednea 30 estamos obteniendo el reporte de uso de la subscripci\u00f3n en un\u00a0 per\u00edodo espec\u00edfico. El m\u00e9todo GetUsageReportAsync<\/span> est\u00e1 implementado de forma\u00a0 privada dentro de la funci\u00f3n de la siguiente manera:<\/p>\n Los filtros usados para obtener el reporte de consumo usan notaci\u00f3n de OData.<\/p>\n Luego tenemos el m\u00e9todo privado ProcessReportAsync<\/span> que toma el reporte de uso y lo procesa de forma tal que se env\u00eda informaci\u00f3n a Stripe sobre el consumo. Su\u00a0 implementaci\u00f3n es la siguiente:<\/p>\n El c\u00f3digo determina si existen datos de uso en el reporte obtenido desde el APIM. De haberlos, se crea un registro de consumo con la cantidad de unidades reportadas y en una fecha espec\u00edfica. Luego se actualiza la subscripci\u00f3n en Stripe con un nuevo valor para la metadata identificada como \u00ablast-usage-update<\/span>\u00bb para asegurarnos como mencionamos antes que no se pierden datos de facturaci\u00f3n.<\/p>\n Y esto es todo lo que hace la Azure Function. Gracias al API de gesti\u00f3n del APIM y a c\u00f3mo \u00e9ste almacena en una base de datos interna la informaci\u00f3n sobre el uso de las APIs, podemos f\u00e1cilmente informar al proveedor de pagos (en este caso Stripe) de forma peri\u00f3dica cu\u00e1ntas llamadas se han realizado para que las conserve y cobre a los usuarios cuando corresponda seg\u00fan el modelo de negocio configurado.<\/p>\n Por \u00faltimo, puede ser interesante destacar que en una implementaci\u00f3n \u00abm\u00e1s real\u00bb que la de esta demo, cada acci\u00f3n que realiza esta Azure Function est\u00e9 repartida entre varias Azure Functions, conectadas entre s\u00ed mediante un mecanismo que siga el patr\u00f3n de dise\u00f1o \u00abTransactional outbox<\/a>\u00ab, el cual es relativamente sencillo de implementar utilizando Cosmos DB y su funcionalidad de \u00abChange Feed<\/a>\u00bb combinada con la capacidad de \u00abTransactional Batches<\/a>\u00ab, aunque eso es tema para otra conversaci\u00f3n y otra publicaci\u00f3n \ud83d\ude09<\/p>\n \u00a1Muchas gracias por leerme y espero que os sea de utilidad!<\/strong><\/p>\n<\/span>","protected":false},"excerpt":{"rendered":" Azure API Management ofrece la capacidad de delegaci\u00f3n, la cual permite que un sitio web externo gestione la informaci\u00f3n de los usuarios, en lugar de utilizar las funciones integradas del Developers Portal. En este art\u00edculo, nos centraremos espec\u00edficamente en la … Continue reading ![\"\"](\"http:\/\/blogs.encamina.com\/piensa-en-software-desarrolla-en-colores\/wp-content\/uploads\/sites\/21\/2023\/05\/image12.png\")
<\/a><\/p>\nRecibiendo la delegaci\u00f3n de subscripciones desde el Azure API Management<\/h2>\n
<\/a><\/p>\n\n
\npaquete NuGet que nos proporciona Microsoft aqu\u00ed<\/a>: https:\/\/www.nuget.org\/packages\/Azure.ResourceManager.ApiManagement<\/a>.<\/p>\n<\/a><\/p>\n\n
<\/a><\/p>\n\n
<\/a><\/p>\n\n
<\/a><\/p>\n\n
<\/a><\/p>\n<\/a><\/p>\n<\/a><\/p>\n\n
<\/a><\/p>\n
\nhttps:\/\/learn.microsoft.com\/es-es\/azure\/api-management\/api-management-howto-setup-delegation#create-your-delegation-endpoint-1<\/a><\/p>\n<\/a><\/p>\n\n
<\/a><\/p>\n<\/a><\/p>\n\n
\n
\ninformaci\u00f3n del pago se ha validado y registrado correctamente para que el APIM pueda crear la subscripci\u00f3n.<\/li>\nReportando consumo desde Azure API Management a Stripe para su facturaci\u00f3n<\/h2>\n
<\/a><\/p>\n<\/a><\/p>\n<\/a><\/p>\n<\/a><\/p>\n