Přístup k API
Obrazovka Přístup k API řídí, kdo a jak se smí k TAS připojit zvenčí: statické API tokeny pro integrace mezi servery, OAuth klienty pro aplikace a oprávnění, která uživatelé těmto aplikacím udělili. Otevřete ji v Administrace › Přístup k API.
Dlaždice je v menu Administrace pro administrátory. Vytvářet a spravovat API tokeny a OAuth klienty však smí jen uživatel s rolí $ApiTokenAdmin. Administrátor bez této role stránku otevře, ale seznam tokenů a klientů se mu nenačte a akce skončí chybou nedostatečných oprávnění.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | API Tokeny | Záložka se statickými tokeny. |
| 2 | OAuth klienti | Záložka s aplikacemi, které se smí k TAS připojit přes OAuth. |
| 3 | OAuth oprávnění | Záložka s přístupy, které uživatelé udělili OAuth aplikacím. |
| 4 | Popis záložky | Krátké vysvětlení, k čemu otevřená záložka slouží. |
| 5 | Vygenerovat token | Otevře okno pro nový API token. Na záložce OAuth klienti je místo něj tlačítko Vytvořit klienta. |
| 6 | Zavřít | Vrátí vás do menu Administrace. |
| 7 | Popis | Popis tokenu zadaný při jeho vytvoření. |
| 8 | Přiřazený uživatel | Systémový uživatel, za kterého token v TAS vystupuje. |
| 9 | Vytvořil | Kdo token vygeneroval. |
| 10 | Vytvořeno | Datum vygenerování. |
| 11 | Platnost do | Datum, kdy token přestane platit. |
| 12 | Zneplatněno | Datum, kdy byl token ručně zneplatněn. U platných tokenů je prázdné. |
Všechny tabulky na obrazovce mají filtr pod názvem každého sloupce, tlačítko Filtr, AI filtr, zobrazení na celou obrazovku a ve spodní liště export.
API tokeny
API token je dlouhodobý statický klíč pro integraci mezi servery. Každý token vystupuje jako jeden systémový uživatel a má jeho práva. Integrace ho posílá v hlavičce Authorization: Bearer <token>.
V seznamu vidíte jen tokeny, které jste vygenerovali vy. Superadministrátor vidí všechny. U platného tokenu, který jste vytvořili, je v nabídce řádku akce Zneplatnit.
Vygenerování tokenu
- Klepněte na Vygenerovat token.
- Vyberte systémového uživatele, případně zadejte expiraci a popis.
- Klepněte na Vygenerovat token.
- Token hned zkopírujte a uložte na bezpečné místo.
| Č. | Pole | K čemu slouží |
|---|---|---|
| 1 | Systémový uživatel | Povinné. Uživatel, za kterého bude integrace v TAS pracovat. Nabízejí se jen systémoví uživatelé. Uživatel musí být aktivní a nesmí mít roli superadministrátora ani roli $ApiTokenAdmin. |
| 2 | Expirace (dny) | Za kolik dní token přestane platit. Když pole necháte prázdné, platí token 365 dní. Nejvýše lze zadat 730 dní. |
| 3 | Popis | K čemu token slouží, například název integrace. Nejvýše 500 znaků. Podle popisu token později v seznamu najdete. |
| 4 | Vygenerovat token | Vytvoří token. |
| 5 | Zavřít | Zavře okno bez vytvoření tokenu. |
Nad poli je upozornění, že pro nové integrace je vhodnější OAuth klient. Ten místo statického tokenu vydává krátkodobé tokeny.
Po vygenerování se otevře okno Token byl úspěšně vygenerován s polem Token. Hodnota je skrytá, zobrazíte ji ikonou oka a zkopírujete tlačítkem vedle pole.
Po zavření okna už token nikde neuvidíte. Pokud ho ztratíte, zneplatněte ho a vygenerujte nový.
Zneplatnění tokenu
Zvolte v nabídce řádku Zneplatnit a potvrďte otázku „Opravdu chcete zneplatnit token…“ tlačítkem Zneplatnit. Token okamžitě přestane fungovat a ve sloupci Zneplatněno se objeví datum. Zneplatnění nejde vrátit, integrace potřebuje nový token.
OAuth klienti
OAuth klient je aplikace, která se smí k TAS připojit přes protokol OAuth. Seznam vidí a spravují všichni uživatelé s rolí $ApiTokenAdmin, bez ohledu na to, kdo klienta vytvořil.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Popis záložky | Shrnuje rozdíl mezi veřejným a důvěrným klientem. |
| 2 | Vytvořit klienta | Otevře okno pro nového klienta. |
| 3 | Název klienta | Název aplikace. Uživatelé ho uvidí při udělování souhlasu. |
| 4 | Typ klienta | Důvěrný (integrace) nebo Veřejný (připojená aplikace). |
| 5 | Client ID | Veřejný identifikátor klienta. Zadává se do nastavení aplikace. |
| 6 | Přiřazený uživatel | U důvěrného klienta systémový uživatel, za kterého klient vystupuje. U veřejného klienta je prázdný. |
| 7 | Vytvořil | Kdo klienta vytvořil. |
| 8 | Vytvořeno | Datum vytvoření. |
| 9 | Platnost do | Do kdy platí Client secret důvěrného klienta. Veřejný klient nemá secret a nevyprší. |
| 10 | Deaktivováno | Datum deaktivace. U aktivních klientů je prázdné. |
| 11 | Akce řádku | Nabídka akcí, viz níže. Detail otevřete i dvojklikem na řádek. |
Typy klientů
| Typ | Kdy ho použít |
|---|---|
| Důvěrný (integrace) | Serverová integrace bez účasti uživatele. Přihlašuje se pomocí Client ID a Client secretu a pracuje jako vybraný systémový uživatel. |
| Veřejný (připojená aplikace) | Aplikace, kterou si připojuje sám uživatel, například AI asistent. Nemá Client secret. Každý uživatel jí přístup schvaluje zvlášť a aplikace pak pracuje s jeho právy. |
Vytvoření klienta
- Klepněte na Vytvořit klienta.
- Zadejte název a zvolte typ klienta.
- U důvěrného klienta vyberte systémového uživatele, u veřejného zadejte Redirect URI.
- Klepněte na Vytvořit klienta.
| Č. | Pole | K čemu slouží |
|---|---|---|
| 1 | Název klienta | Povinné, nejvýše 255 znaků. |
| 2 | Důvěrný (integrace) | Výchozí typ. Pod volbou je stručný popis typu. |
| 3 | Veřejný (připojená aplikace) | Přepne okno na pole pro veřejného klienta. |
| 4 | Systémový uživatel | Jen u důvěrného klienta, povinné. Uživatel, za kterého klient v TAS pracuje. Nabízejí se jen systémoví uživatelé. |
| 5 | Expirace (dny) | Jen u důvěrného klienta. Za kolik dní Client secret vyprší. Když pole necháte prázdné, platí 365 dní. Nejvýše lze zadat 730 dní. |
| 6 | Vytvořit klienta | Vytvoří klienta. |
| 7 | Zavřít | Zavře okno bez vytvoření klienta. |
U veřejného klienta je místo systémového uživatele a expirace pole Redirect URI:
| Č. | Pole | K čemu slouží |
|---|---|---|
| 1 | Redirect URI | Povinné. Adresy, na které TAS po schválení přístupu vrátí uživatele do aplikace. Každou adresu napište na samostatný řádek, nejvýše 10 adres. Adresa musí být úplná a začínat https://. Adresa http:// je povolená jen pro localhost (localhost, 127.0.0.1, [::1]). Adresa nesmí obsahovat část za znakem #. TAS ji porovnává přesně. |
Po vytvoření se otevře okno OAuth klient byl úspěšně vytvořen s polem Client ID a u důvěrného klienta také s polem Client secret. Obě hodnoty zkopírujete tlačítkem vedle pole.
Po zavření okna už Client secret nikde neuvidíte. Pokud ho ztratíte, vygenerujte nový.
Akce u klienta
| Akce | K čemu slouží |
|---|---|
| Detail | Otevře detail klienta. Je dostupná vždy. |
| Vygenerovat nový Client secret | Jen u aktivního důvěrného klienta. Vydá nový secret a starý zneplatní. |
| Deaktivovat | Jen u aktivního klienta. Klient se už nemůže připojit. |
| Trvale smazat | Jen pro superadministrátora. Klienta odstraní i se všemi jeho oprávněními. |
Akce Vygenerovat nový Client secret a Deaktivovat se nabízejí u klientů, které jste vytvořili vy, a u klientů, které se zaregistrovaly samy, bez autora. Superadministrátor je má u všech klientů.
Detail klienta
| Pole | K čemu slouží |
|---|---|
| Název klienta | U aktivního klienta, kterého smíte spravovat, ho můžete změnit. Jinak je jen pro čtení. |
| Typ klienta | Jen pro čtení. Typ po vytvoření změnit nejde. |
| Client ID | Jen pro čtení, s tlačítkem pro kopírování. |
| Redirect URI | Jen u veřejného klienta. U aktivního klienta je můžete upravit, platí stejná pravidla jako při vytvoření. |
| Přiřazený uživatel, Vytvořil, Vytvořeno, Platnost do, Deaktivováno | Informace o klientovi. Prázdné údaje se nezobrazují. |
| Uložit | Uloží změny. Je aktivní až po změně názvu nebo Redirect URI. |
| Zavřít | Zavře detail bez uložení. |
Deaktivovaného klienta už upravit nejde.
Nový Client secret
Okno Vygenerovat nový Client secret upozorní, že stávající secret okamžitě přestane fungovat. V poli Expirace (dny) můžete zadat platnost nového secretu, prázdné pole znamená 365 dní, nejvýše 730 dní. Po potvrzení se otevře stejné okno jako po vytvoření klienta s novým Client secretem. Nový secret hned zadejte do integrace, starý už nefunguje. Pokud si to rozmyslíte, okno zavřete křížkem.
Deaktivace a smazání
Po volbě Deaktivovat TAS zobrazí potvrzení „Opravdu chcete deaktivovat klienta…“. Tlačítkem Deaktivovat klienta vypnete, tlačítkem Ne akci zrušíte.
Deaktivace zároveň odebere všechna platná oprávnění, která uživatelé klientovi udělili. Deaktivovaného klienta už nejde znovu zapnout. Pokud aplikaci potřebujete znovu, vytvořte nového klienta.
Superadministrátor může klienta akcí Trvale smazat odstranit úplně, včetně všech jeho oprávnění. Smazat jde jen klienta, který je už deaktivovaný. U aktivního klienta smazání skončí chybou, proto ho nejdřív deaktivujte. Smazání nejde vrátit.
OAuth oprávnění
Když uživatel připojí veřejného OAuth klienta, například AI asistenta, schválí mu přístup ke svému účtu. Každé takové schválení je jedno oprávnění. Uživatel s rolí $ApiTokenAdmin a superadministrátor zde vidí oprávnění všech uživatelů, ostatní jen svá.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Popis záložky | Připomíná, že odebrání oprávnění aplikaci odpojí. |
| 2 | Název klienta | Aplikace, které uživatel přístup udělil. |
| 3 | Uživatel | Kdo přístup udělil. Aplikace pracuje s jeho právy. |
| 4 | Vytvořeno | Kdy uživatel přístup udělil. |
| 5 | Naposledy použito | Kdy aplikace oprávnění naposledy použila. |
| 6 | Platnost do | Do kdy může aplikace s tímto oprávněním získávat nové tokeny. |
| 7 | Zneplatněno | Kdy byl přístup odebrán. U platných oprávnění je prázdné. |
U platného oprávnění je v nabídce řádku akce Odebrat přístup. Po potvrzení otázky „Opravdu chcete odebrat přístup pro…“ tlačítkem Odebrat přístup se oprávnění zneplatní a aplikace s ním už nové tokeny nezíská. Pokud ji uživatel chce používat dál, musí jí přístup udělit znovu.
Odeberte přístup, když uživatel odchází, když aplikace přestala být důvěryhodná, nebo když uživatel nahlásí ztrátu zařízení s připojenou aplikací. Chcete-li odpojit aplikaci všem uživatelům najednou, deaktivujte jejího klienta.
Na snímcích zatím nikdo žádnou aplikaci nepřipojil, proto je seznam oprávnění prázdný.
Související: Trezor, Autentizace, Uživatelé, Nastavení účtu.
