第 2 章 OAuth 2 访问令牌

OAuth 2 访问令牌（包括 Red Hat Quay 的 "API 令牌"）启用对 Red Hat Quay API 的用户身份验证访问，适用于需要用户身份验证的应用程序。这些令牌通过 OAuth 2 授权过程获得，其中 Red Hat Quay 管理员代表自己或其他用户生成令牌来访问 Red Hat Quay API 端点。OAuth 2 令牌根据为令牌定义的范围来授权对 API 端点的操作。

OAuth 2 访问令牌只能通过 Red Hat Quay UI 创建；无法使用 CLI 创建 OAuth 2 访问令牌。在创建 OAuth 2 令牌时，可以为令牌拥有者选择以下选项：

令牌经销商应注意，他们在代表用户生成令牌时授予其授权，并且在授予了管理机构、Super User Access 和 管理用户 等权限前，用户应具有绝对信任。此外，访问令牌仅在创建时显示；它们无法通过 CLI 列出，也无法在 Red Hat Quay UI 中找到。如果访问令牌丢失或忘记，则必须创建新令牌；无法恢复令牌。

OAuth 2 访问令牌在 API 调用的 Authorization 标头中作为 Bearer 令牌传递，因此，用于向定义的 API 端点提供身份验证和授权，如镜像标签、存储库、机构等。

该 API 位于 Red Hat Quay 主机的 /api/v1 端点中。例如： https://<quay-server.example.com>/api/v1。它允许用户通过其浏览器连接到端点，通过启用 Swagger UI 来通过浏览器连接到 GET、POST、DELETE 和 PUT Red Hat Quay 设置。API 可以被发出 API 调用的应用访问，并使用 OAuth 令牌，它将数据作为 JSON 发送和接收数据。

使用 Red Hat Quay 时，目前无法在 OAuth 2 访问令牌上轮转或设置过期时间，令牌生命周期为 10 年。当令牌被泄露时，可以通过删除创建令牌的应用程序来删除令牌。但是，这会删除在该特定应用程序内所做的所有令牌。

以下小节介绍了如何生成和重新分配 OAuth 2 访问令牌。