Microservices Engine:Configurar autenticación JWT

Requisitos previos

• Cuenta con conocimientos básicos sobre el estándar JWT. Para obtener más información, consulte Introducción a los JSON Web Tokens.

• Comprende los métodos de integración compatibles con la puerta de enlace nativa de la nube: emitir su propio token y configurar una clave pública en la puerta de enlace para verificar la firma de la solicitud.

• Prepare la clave privada y la clave pública que se usarán para generar y validar tokens. Su servicio de autorización utiliza la clave privada para firmar los JWT. La clave pública se configura en la puerta de enlace nativa de la nube para verificar la firma de un token en una solicitud.

Contexto

La puerta de enlace nativa de la nube ofrece una solución de seguridad integral. La función de autenticación JWT permite autorizar el acceso a sus API basándose en JSON Web Tokens. Esto le brinda un control detallado sobre su configuración de seguridad.

Token-based authentication

Cuando expone API a través de una puerta de enlace nativa de la nube, necesita una forma de identificar al solicitante y verificar su permiso para acceder al recurso solicitado. Un token es una credencial que se utiliza para esta autenticación. Con la autenticación basada en tokens, su aplicación no necesita almacenar información de autenticación de usuarios ni de sesiones en el servidor. Esto habilita aplicaciones web distribuidas y sin estado, además de simplificar el escalado.

Supported integration methods

Crear autenticación

1. Inicie sesión en la consola de MSE.

2. En el panel de navegación izquierdo, seleccione Cloud-native Gateway > Gateways. En la barra de navegación superior, seleccione una región.

3. En la página Gateways, haga clic en el ID de la puerta de enlace.

4. En el panel de navegación izquierdo, seleccione Security Management > Global Authentication.

5. En la página Global Authentication, haga clic en Create Authentication en la esquina superior izquierda. Configure los parámetros y luego haga clic en OK.

   Parámetro	Descripción
   Authentication Name	Nombre personalizado para la regla de autenticación.
   Authentication Type	Tipo de autenticación. JWT está seleccionado de forma predeterminada.
   Issuer	Entidad que emitió el JWT, correspondiente al claim iss (issuer) del token.
   Sub	Entidad que es el sujeto del JWT, correspondiente al claim sub (subject) del token.
   JWKS	JSON Web Key Set (JWKS) que contiene la clave pública utilizada para verificar la firma del JWT. El formato debe ser un objeto JWKS válido. Por ejemplo: { "keys":[ { "e":"AQAB", "kid":"DHFbpoIUqrY8t2zpA2qXfCmr5VO5ZEr4RzHU_-envvQ", "kty":"RSA", "n":"xAE7eB6qugXyCAG3yhh7pkDkT65pHymX- P7KfIupjf59vsdo91bSP9C8H07pSAGQO1MV_xFj9VswgsCg4R6otmg5PV2 He95lZdHtOcU5DXIg_pbhLdKXbi66Gl VeK6ABZOUW3WYtnNHD-91gVuoeJT_DwtGGcp4ignkgXfkiEm4sw- 4sfb4qdt5oLbyVpmW6x9cfa7vs2WTfURiCrBoUqgBo_-4WTiULmmHSG ZHOjzwa8WtrtOQGsAFjIbno85jp6MnGGGZ PYZbDAa_b3y5u-YpW7ypZrvD8BgtKVjgtQgZhLAGezMt0ua3D RrWnKqTZ0BJ_EyxOGuHJrLsn00fnMQ" } ] }
   JWT Token	Configure cómo se extrae el token de la solicitud entrante. Type: Ubicación del token en la solicitud. El valor predeterminado es Header. Key: Nombre del encabezado o parámetro de consulta que contiene el token. Prefix: Cadena que se antepone al token. De forma predeterminada, la puerta de enlace espera que el token esté en el encabezado Authorization con el prefijo Bearer. Por ejemplo: Authorization: Bearer token. Enable Passthrough: Especifica si se pasa el token al servicio de backend. Si selecciona esta opción, se reenvía el encabezado o parámetro original del token.
   Authorization	Modo de autorización. Se admiten los modos Whitelist y Blacklist. Whitelist: Las solicitudes a hosts y rutas especificados en la lista de permitidos pueden omitir la autenticación. Todas las demás solicitudes requieren autenticación. Blacklist: Las solicitudes a hosts y rutas especificados en la lista de bloqueados requieren autenticación. Todas las demás solicitudes pueden omitir la autenticación. Haga clic en + Rule Condition para configurar el nombre de dominio y la ruta de la solicitud. Request Domain Name: Nombre de dominio de la solicitud (host). Request Path: Ruta de la solicitud.

Consultar detalles de autenticación

1. Inicie sesión en la consola de MSE.

2. En el panel de navegación izquierdo, seleccione Cloud-native Gateway > Gateways. En la barra de navegación superior, seleccione una región.

3. En la página Gateways, haga clic en el ID de la puerta de enlace.

4. En el panel de navegación izquierdo, seleccione Security Management > Global Authentication.

5. En la página Global Authentication, localice la regla de autenticación deseada y haga clic en Details en la columna Actions. La página de detalles muestra la Basic Information y la Authentication Configuration de la regla. También puede gestionar su Authorization Information.

   La sección Authentication Configuration muestra campos como Issuer, Sub, Type (por ejemplo, Header), Prefix (por ejemplo, Bearer), el interruptor Enable Passthrough, Key (por ejemplo, Authorization) y JWKS. La sección Authorization Information permite cambiar el modo de autorización y muestra una tabla con las reglas de autorización existentes, incluyendo su Request Domain Name y Request Path.

   En la sección Authorization Information, haga clic en Add Authorization Information. En el cuadro de diálogo que aparece, introduzca el Request Domain Name y la Request Path para agregar una nueva regla de autorización.

Verificar el resultado

Regrese a la página Global Authentication. Si la nueva regla de autenticación aparece en la lista, se ha creado correctamente.

Operaciones relacionadas

También puede realizar las siguientes operaciones para gestionar sus reglas de autenticación:

• Habilitar una regla de autenticación: En la página Global Authentication, localice la regla deseada y haga clic en Enable en la columna Actions. Esto activa la regla.

• Deshabilitar una regla de autenticación: En la página Global Authentication, localice la regla deseada y haga clic en Close en la columna Actions. Esto desactiva la regla.

• Editar una regla de autenticación: En la página Global Authentication, localice la regla deseada y haga clic en Edit en la columna Actions para modificar su configuración.

• Eliminar una regla de autenticación: En la página Global Authentication, localice la regla deseada y haga clic en Delete en la columna Actions para eliminarla permanentemente.

Documentos relacionados

Para conocer otros mecanismos de autenticación, consulte Global Authentication.