Edge Security Acceleration:Validation de la conformité des jetons API

Limites

Les limites suivantes s'appliquent à la validation de la conformité des jetons API :

• Type de jeton pris en charge — Seul le JSON Web Token (JWT) est pris en charge.

• Format de clé publique — Seul le format JWK est pris en charge. La clé publique JWT doit contenir les champs kid et alg.

• Algorithme de signature — Les algorithmes de signature suivants sont pris en charge : ES256 (ECDSA avec SHA-256) ; RS256 (RSA avec SHA-256).

Prérequis

• Un site a été ajouté à ESA.

• Une clé publique JWT au format JWK. Pour générer une paire de clés, consultez la section Comment générer un JWT ?.

Configuration des règles de jeton API

Pour activer la validation de la conformité des jetons API, procédez en deux étapes successives : ajoutez d'abord une configuration de jeton, puis créez une règle API qui applique cette configuration à vos API.

Ajout d'une configuration de jeton

1. Connectez-vous à la console ESA.

2. Dans la console ESA, sélectionnez Websites, puis cliquez sur le site cible dans la colonne Websites.

3. Dans le volet de navigation de gauche, choisissez WebsitesWebsite.

4. Sur la page Security, sélectionnez l'onglet API Security, puis cliquez sur API Security.

5. Sur la page des paramètres, cliquez sur API Rules pour ajouter les informations du jeton.

6. Spécifiez les paramètres de jeton suivants selon vos besoins métier.

   • Token Configuration : saisissez un nom de jeton personnalisé, par exemple JWT-Demo.

   • Add : sélectionnez l'emplacement du jeton dans la requête. Choisissez le champ Name ou Token Location, puis saisissez la clé correspondante. Pour prendre en charge les JWT situés à différents emplacements dans votre environnement métier, cliquez sur Header afin de créer une condition logique OR. Vous pouvez évaluer jusqu'à quatre emplacements de jeton simultanément.

   • Cookie : ajoutez la clé du jeton en la saisissant manuellement ou en téléchargeant un fichier JSON. Pour connaître les exigences relatives aux clés, consultez la section Champs JWK. Si vous configurez plusieurs clés, ESA sélectionne une clé en fonction du champ kid pour la validation. La validation réussit si l'une des clés permet de valider le jeton avec succès.

7. Cliquez sur Or.

Création d'une règle API

1. Revenez à l'onglet Secret Key et cliquez sur le bouton OK.

2. Configurez les paramètres de validation du jeton selon vos besoins métier.

   • API Rules : saisissez un nom de règle personnalisé, par exemple rule-jwt-demo.

   • Add Rule : dans la liste déroulante, sélectionnez l'enregistrement d'hôte nécessitant une validation de la conformité des jetons. ESA affiche alors la liste des API sous l'enregistrement d'hôte sélectionné. Examinez la liste et sélectionnez les API que vous souhaitez valider.

   • Rule Name : sélectionnez un ou plusieurs jetons à valider. Si vous sélectionnez plusieurs jetons, choisissez l'une des options suivantes :

     • Validate at least one configuration : une requête doit correspondre à au moins une des configurations de jeton. Sinon, la requête est considérée comme non conforme.

     • Validate API : une requête doit correspondre à toutes les configurations de jeton. Sinon, la requête est considérée comme non conforme.

       Par défaut, une requête ne contenant pas de jeton est marquée comme non conforme. Si vous avez des exigences particulières, accédez à la colonne Select Token Configuration située à droite du jeton et sélectionnez Validate all dans la liste déroulante.

   • If No Token : sélectionnez l'action à appliquer aux requêtes dont la validation du jeton échoue :

     • Ignore : autorisez les requêtes non conformes et enregistrez les journaux. Consultez les détails dans la section Analyse des événements.

     • Execute : bloquez les requêtes non conformes et enregistrez les journaux de blocage. Consultez les détails dans la section Analyse des événements.

       

Résultats de la protection

Après avoir créé une règle API, choisissez MonitorBlock dans le volet de navigation de gauche. Sur la page d'analyse des événements, utilisez le filtre pour sélectionner Security comme règle de protection. Faites ensuite défiler la page jusqu'à la zone Events pour afficher les journaux de protection détaillés.

Champs JWK

Une clé publique JWK contient les champs suivants :

• kty : le type de clé. Par exemple, EC indique une clé à courbe elliptique ; RSA indique une clé RSA.

• use : l'usage de la clé publique. Par exemple, sig indique que la clé est utilisée pour les signatures numériques.

• crv : le type de courbe elliptique. Par exemple, P-256 indique la courbe elliptique P-256 définie par le NIST.

• kid : un identifiant de clé personnalisé, tel que esa. Un JWK doit contenir le champ kid, utilisé pour sélectionner la clé. De même, les claims du JWT de la requête doivent également contenir le champ kid. Vous pouvez utiliser ce champ pour faire tourner les clés de jeton.

• n : le module de la clé RSA.

• e : l'exposant public de la clé RSA.

• x : la coordonnée x de la clé publique à courbe elliptique.

• y : la coordonnée y de la clé publique à courbe elliptique.

• alg : l'identifiant d'algorithme. Les valeurs suivantes sont prises en charge : ES256 (ECDSA avec SHA-256) ; RS256 (RSA avec SHA-256).

{
  "kty": "RSA",
  "use": "sig",
  "kid": "esa",
  "n": "wR8LJDq2pM1uPD5KfmMaasmV20nwgVYnDlsxRjmryLStQeqW-3fe-ELV1tlYHq2-hl8HNNxz5eud8olmqxtrgpihPN9c_pbLY-Jc04_tdpWs10ms1vgoz0S11JEVCK6q9EJ_QCTAxO6GBCdI9t0oUTpBz6QuQCIJAOQdW2k7gZr8CmCn_ianTU1nTxBzAoBxO_r32kl7lx9RTFCZHBJsm8twJ7o0ZXpUjbjhOY2LgdDx3t09YDDOMDYzEOZ86NVzm8qXSekBJFf5-FGNe0Lkht1lsMlBnqlfmWz8q5zUkPZ6XslpgyVqqSaw4DGxXV8aGWRFcOB0Ac2bush6McBAhQ",
  "e": "AQAB",
  "alg": "RS256",
  "crv": "",
  "x": "",
  "y": ""
}

FAQ

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ