Anwendungsmanagement-API v2023-11-30 — Anwendungsfallleitfaden

API-Version: 2023-11-30

Was ist die Application Management API?

Mit der Vertriebspartner-API für Anwendungsmanagement können Sie das Client-Geheimnis für registrierte Anwendungen programmgesteuert rotieren.

Sie müssen eine Amazon Simple Queue Service (Amazon SQS) -Warteschlange für den Empfang von Anmeldeinformationen registrieren, bevor Sie den rotateApplicationClientSecret API-Betrieb. Wenn Sie den API-Aufruf tätigen, wird ein neuer geheimer Client-Schlüssel für die Anwendung erstellt, die Sie aufrufen. Die neuen Anmeldeinformationen werden zusammen mit der Ablaufzeit der alten Anmeldeinformationen an Ihre vorregistrierte SQS-Warteschlange gesendet. Sie müssen Ihre Anwendung aktualisieren, um die neuen Anmeldeinformationen zu verwenden, bevor die alten Anmeldeinformationen ablaufen.

🚧

Erteilen Sie Amazon die Erlaubnis, in Ihre SQS-Warteschlange zu schreiben

Be sure to follow the steps in Grant Selling Partner API permission to write to your SQS queue so Amazon can send notifications to your SQS queue.

Terminologie

• Kunden-ID: Teil Ihrer Anmeldedaten für die Anmeldung mit Amazon (LWA). Informationen zum Abrufen dieses Werts finden Sie unter Ihre Bewerbungsinformationen und Anmeldeinformationen anzeigen.
• Geheimer Kunde: Teil Ihrer LWA-Anmeldeinformationen. Informationen zum Abrufen dieses Werts finden Sie unter Ihre Bewerbungsinformationen und Anmeldeinformationen anzeigen.
• Rotation der Anmeldeinformationen: Der Vorgang, bei dem ein neues Client-Geheimnis erstellt und das alte Client-Geheimnis für ungültig erklärt wird.

Tutorial: Benachrichtigung über die Rotation von Anmeldeinformationen

Erfahren Sie, wie Sie eine Benachrichtigung einrichten, die Sie benachrichtigt, wenn Ihre Anmeldeinformationen geändert werden müssen.

Voraussetzungen:

Um dieses Tutorial erfolgreich abzuschließen, benötigen Sie Zugriff auf:

• Die Entwicklerkonsole
• Amazon SQS
• Eine SQS-Warteschlange

Schritt 1. Der Verkaufspartner-API die Erlaubnis erteilen, in Ihre SQS-Warteschlange zu schreiben

Um Benachrichtigungen zu erhalten, müssen Sie dem Verkaufspartner-API die Erlaubnis erteilen, in Ihre SQS-Warteschlange zu schreiben.

1. Öffnen Sie die AWS-Managementkonsole und melden Sie sich mit Ihren AWS-Anmeldeinformationen an.
2. Öffnen Sie von der Konsole aus Amazon Simple Queue Service.
3. Wählen Sie die Standardwarteschlange aus, in der Sie Benachrichtigungen erhalten möchten.
4. Choose the Access Policy tab.
5. From the Access policy (Permissions) section, select Edit. The Edit Test Queue page opens.
6. Scroll down to Access policy, then select the Policy generator link. The AWS Policy Generator opens in a new tab.
7. In Step 1 of the policy generator, select SQS Queue Policy.
8. In Step 2 of the policy generator:
   a. Set Effect to Allow.
   b. Set Principal to 437568002678.
   c. Set Actions to SendMessage and GetQueueAttributes.
   d. Enter the SQS ARN value in Amazon Resource Name (ARN).
   e. Choose Add Statement and verify the details.
9. In Step 3 of the policy generator, select Generate Policy. A dialog box with the new policy opens.
10. Kopieren Sie die Richtlinie.
11. Navigate back to the Amazon SQS queue, open the Access policy tab, then paste the policy into the Access Policy (Permissions) section.
12. Speichern Sie die Änderungen.
13. Reference the queue's Details section and note the ARN for this queue, as you need it to register your queue in the next step.

Schritt 2. Registrieren Sie Ihre SQS-Warteschlange, um Benachrichtigungen über ablaufende Anmeldeinformationen zu erhalten

1. Sign in to your developer account on the Solution Provider Portal. Navigate to the Developer Console page that lists all your applications.

   📘

   Hinweis

   Für Seller Central Benutzer, melden Sie sich an Seller Central für deinen Marktplatz und navigiere zu Apps and Services, dann Develop Apps.

   Für Vendor Central Benutzer, melden Sie sich an Vendor Central für deinen Marktplatz und navigiere zu Integration, dann API Integration.

2. Wählen Notification Preferences.

3. On the Subscription page, find the application for which you want to receive expiring credential notifications.

4. In the Application Client Secret Expiry row, select the SQS ARN where you want to receive the expiring credential notification.

Schritt 3. Achten Sie auf ablaufende Anmeldedaten

Amazon sendet eine Benachrichtigung an die registrierte Warteschlange, wenn sich die Anwendung dem Ablauf der LWA-Anmeldeinformationen nähert. Sie können zuhören in Ihre SQS-Warteschlange und wechseln Sie Ihre Anmeldeinformationen, wenn Sie die Benachrichtigung erhalten.

Verwenden Sie einen Amazon SQS-Client, um die Nachricht aus Ihrer vorregistrierten Warteschlange zu empfangen. Folgen Sie dem ReceiveMessage Dokumentation.

Beispiel für eine Benachrichtigung

{
  "notificationVersion":"1.0",
  "notificationType":"APPLICATION_OAUTH_CLIENT_SECRET_EXPIRY",
  "payloadVersion":"2023-11-30",
  "eventTime":"2024-01-10T02:15:10.045Z",
  "payload":{
    "applicationOAuthClientSecretExpiry":{
      "clientId":"amzn1.application-oa2-client.xxxxxxxxxxxxxxxxxxxxxxxxxxxx",
      "clientSecretExpiryTime":"2024-03-03T22:06:39.224Z",
      "clientSecretExpiryReason":"PERIODIC_ROTATION"
    }
  },
  "notificationMetadata":{
    "applicationId":"amzn1.sp.solution.xxxxxxxxxxxxxxxxxxxxxxxxxxxx",
    "subscriptionId":"a275c00d-260c-4xxxxxxxxxxxf25",
    "publishTime":"2024-01-10T02:15:14.269Z",
    "notificationId":"e7e27216-4970-477a-882c-e4xxxxxxxxxxxxxdc"
  }
}

Tutorial: Das Client-Geheimnis Ihrer Anwendung rotieren

Erfahren Sie, wie Sie Ihre Kundengeheimnisse mithilfe der rotateApplicationClientSecret Betrieb.

Voraussetzungen:

Um dieses Tutorial erfolgreich abzuschließen, benötigen Sie:

• Zugriff auf die Developer Console
• Zugriff auf Amazon SQS (und eine neue SQS-Warteschlange)
• Die aktuellen Client-Anmeldeinformationen der Anwendung

Schritt 1. Registrieren Sie Ihre SQS-Warteschlange, um neue Anmeldeinformationen zu erhalten

1. Sign in to your developer account on the Solution Provider Portal. Navigate to the Developer Console page that lists all your applications.

   📘

   Hinweis

   Für Seller Central Benutzer, melden Sie sich an Seller Central für deinen Marktplatz und navigiere zu Apps and Services, dann Develop Apps.

   Für Vendor Central Benutzer, melden Sie sich an Vendor Central für deinen Marktplatz und navigiere zu Integration, dann API Integration.

2. Wählen Notification Preferences.

3. On the Subscription page, find the application for which you want to receive the expiring credential notification.

4. In the Application Client New Secret row, enter the SQS queue where you want to receive the new credential.

Schritt 2. Den rotateApplicationClientSecret-Vorgang aufrufen

Rufen Sie den rotateApplicationClientSecret Vorgang mit den Anmeldeinformationen der Anwendung, die Sie rotieren möchten. Die folgenden Schritte zeigen den Arbeitsablauf mit Screenshots aus dem Postman-Tool.

1. Generieren Sie ein LWA-Zugriffstoken, indem Sie den API-Endpunkt des Tokens aufrufen (https://api.amazon.com/auth/O2/token) verwenden client_id, client_sceret, grant_type, und scope in der POST nenne den Körper als x-www-form-urlencoded Parameter.

   

2. Verwenden Sie das LWA-Zugriffstoken aus Schritt 1 in der x-amz-access-token Header des rotateApplicationClientSecret mit der Endpunkt-URL https://sellingpartnerapi-na.amazon.com/applications/2023-11-30/clientSecret.

   

Antwort

Diese Operation gibt keine Antwort zurück. Wenn die Anmeldeinformationen erfolgreich rotiert wurden, erhalten Sie eine 204-Antwort und die neuen Anmeldeinformationen werden als Benachrichtigung an die registrierte SQS-Warteschlange gesendet.

❗️

Rotieren Sie Ihre Zugangsdaten nach dem Anruf

The credential you use to call rotateApplicationClientSecret expires after seven days. If you don't update your credential before it expires, your application will stop working.

Beispiel anfordern

POST https://sellingpartnerapi-na.amazon.com/applications/2023-11-30/clientSecret

Antwort

Diese Operation gibt keine Antwort zurück. Wenn die Anmeldeinformationen erfolgreich rotiert wurden, erhalten Sie eine 204-Antwort und die neuen Anmeldeinformationen werden als Benachrichtigung an die registrierte SQS-Warteschlange gesendet.

Schritt 3. Holen Sie sich das neueste Client-Geheimnis aus Ihrer SQS-Warteschlange

Verwenden Sie einen Amazon SQS-Client, um die Nachricht aus Ihrer vorregistrierten Warteschlange zu empfangen. Folgen Sie dem ReceiveMessage Dokumentation für den Empfang von Nachrichten in Ihrer SQS-Warteschlange.

Antwort

Beispiel für eine Antwort

{
  "notificationVersion": "1.0",
  "notificationType": "APPLICATION_OAUTH_CLIENT_NEW_SECRET",
  "payloadVersion": "2023-11-30",
  "eventTime": "2024-01-10T22:09:17.456Z",
  "payload": {
    "applicationOAuthClientNewSecret": {
      "clientId": "amzn1.application-oa2-client.6XXXXXXXXXXXXXXXXXXXXXXXXX",
      "newClientSecret": "amzn1.oa2-cs.v1.8b6XXXXXXXXXXXXXXXXXXXXXXXXX",
      "newClientSecretExpiryTime": "2024-07-08T22:09:17.198Z",
      "oldClientSecretExpiryTime": "2024-01-17T22:09:17.180Z"
    }
  },
  "notificationMetadata": {
    "applicationId": "amzn1.sp.solution.6XXXXXXXXXXXXXXXXXXXXXXXXX",
    "subscriptionId": "8594dc0e-78dc-4b05-83a4-a6XXXXXXXXXXXXXX",
    "publishTime": "2024-01-10T22:09:18.706Z",
    "notificationId": "b0805eb9-78f7-49bb-ac0e-XXXXXXXXXXX"
  }
}

Allgemeine Empfehlungen

• Verwenden Sie die Ablaufbenachrichtigung: Wir haben empfohlen, die Ablaufbenachrichtigung zu verwenden, um eine Rotation auszulösen. Die in der Ablaufbenachrichtigung angegebene Ablaufzeit dient als Indikator dafür, wann Sie die Anmeldedaten wechseln müssen.

• Serverseitige Verschlüsselung für SQS aktivieren: Aktivieren Sie aus Sicherheitsgründen die serverseitige SQS-Verschlüsselung und gewähren Sie Amazon Zugriff, um in Ihre SQS-Warteschlange zu schreiben. Weitere Informationen finden Sie unter Erteilen Sie dem Verkaufspartner-API die Erlaubnis, in Ihre SQS-Warteschlange zu schreiben.

• Store your credentials in your application's credential vault: For security, make sure you don't pass the secret in an unencrypted format. We recommended storing credentials in a credential vault, such as KMS custom keys store.

• Testen der API-Integration für das Anwendungsmanagement: Verwenden Sie die Application Management API für einen Anwendungsentwurf, bevor Sie sie in einer Produktionsanwendung verwenden. Anschließend können Sie unabhängig von Ihrer Produktionsanwendung Ihre Infrastruktur testen, um das Geheimnis aus Ihrer SQS-Warteschlange in den geheimen Tresor Ihrer Anwendung zu laden. Nachdem Sie das neue Geheimnis für den Anwendungsentwurf erhalten haben, verwenden Sie es, um sicherzustellen, dass es funktioniert.