Function Compute:Configurer l'authentification JWT pour un déclencheur HTTP

Informations générales

Prérequis

Créez une fonction et un déclencheur HTTP. Pour plus d'informations, consultez les rubriques Créer une fonction et Créer un déclencheur.

Limites

• Vous pouvez utiliser n'importe quelle méthode pour générer et distribuer des JWT. Function Compute authentifie les JWT à l'aide du JWKS public configuré pour le déclencheur.

• Function Compute prend en charge les JSON Web Key (JWK) sans kid (ID de clé).

• Le déclencheur peut lire un jeton depuis un header de requête, un paramètre de Query (pour les requêtes GET), un paramètre de formulaire (pour les requêtes POST) ou un cookie.

• Vous pouvez transférer les claims vers la fonction sous forme de header, de paramètre de formulaire (pour les requêtes POST) ou de cookie.

• Function Compute permet de configurer un JWKS pour un déclencheur HTTP. Le système recherche dans le JWKS une JWK publique dont le kid correspond à celui du token. Il utilise ensuite cette clé publique pour vérifier la signature du token. Un JWKS associé à un déclencheur ne peut contenir qu'une seule JWK dont le kid est absent ou constitue une chaîne vide.

  Le JWT de Function Compute prend en charge les algorithmes suivants.

  Algorithme de signature	Valeur Alg
  RSASSA-PKCS1-V1_5	RS256, RS384, RS512
  RSASSA-PSS	PS256, PS384, PS512
  Courbe elliptique (ECDSA)	ES256, ES384, ES512
  HMAC	HS256, HS384, HS512
  EdDSA	EdDSA

  Important

  • L'algorithme de signature HMAC repose sur un chiffrement symétrique et offre un niveau de sécurité inférieur. Nous recommandons d'utiliser un algorithme de chiffrement asymétrique plus sûr.

  • Lorsque vous employez un algorithme de chiffrement asymétrique, votre JWT ne doit contenir que des informations relatives à la clé publique pour des raisons de sécurité. Évitez d'y inclure des informations sur la clé privée.

  • Nous conseillons d'utiliser HTTPS pour protéger les informations sensibles telles que le token dans les requêtes, afin d'éviter toute fuite de jeton.

Procédure

Étape 1 : Configurer l'authentification JWT

Étape 2 : Vérifier la configuration

Utilisez un outil de test, tel que Postman, pour vérifier l'accès au service HTTP conformément à la configuration JWT du déclencheur HTTP, en fournissant un endpoint, un jeton et d'autres informations.

1. Utilisez la clé privée au format X.509 PEM générée à l'étape 1 pour émettre un jeton JWT. Les étapes suivantes montrent comment générer un jeton à l'aide d'un script Python local.

   1. Installez le module PyJWT.

      pip install 'PyJWT>=2.0'

   2. Exécutez localement l'exemple de script Python suivant pour générer un jeton JWT.

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <The X.509 PEM-format private key generated in Step 1>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # The time when the token was issued.
          "exp": int(time.time()) + 60 * 60,   # Set the token to be valid for 1 hour.
      }
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Utilisez Postman pour vérifier l'accessibilité du service HTTP.

   1. Dans l'onglet Trigger de la page de détails de la fonction, récupérez l'endpoint public du déclencheur HTTP et saisissez-le dans le champ URL de Postman.

   2. Dans Postman, configurez le paramètre du jeton dans les en-têtes et cliquez sur Send. Le tableau suivant fournit un exemple de configuration du jeton.

      Paramètre	Valeur	Description
      Clé	Authentication	Nom du paramètre spécifié dans la section JWT Token Configuration.
      Valeur	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	Valeur du paramètre Remove Prefix spécifiée dans la section JWT Token Configuration, concaténée avec le jeton JWT. L'exemple suppose que Remove Prefix est défini sur Bearer .

      Important

      Le préfixe et l'espace du paramètre JWT dans l'en-tête de la requête doivent correspondre exactement à la valeur de Remove Prefix spécifiée dans la section JWT Token Configuration. Dans le cas contraire, le déclencheur ne parvient pas à analyser le jeton et retourne une erreur invalid or expired jwt.

FAQ