Enable Bearer authentication for an HTTP trigger - Function Compute

L'authentification Bearer permet de restreindre l'accès à un déclencheur HTTP en exigeant que les appelants présentent un jeton secret dans chaque requête. Function Compute vérifie ce jeton par rapport aux valeurs que vous configurez, sans nécessiter de fournisseur d'identité externe.

Fonctionnement

Lorsqu'une requête atteint le déclencheur, Function Compute effectue les opérations suivantes :

Vérifie la présence de l'en-tête Authorization: Bearer <token>. Si cet en-tête est absent, la requête est rejetée avec le message "Authorization header is expected but missing".
Extrait la valeur du jeton et la compare à tous les jetons activés stockés pour ce déclencheur.
Accorde l'accès si un jeton correspond ; sinon, rejette la requête avec le message "access denied due to invalid bearer token".

Cette vérification s'exécute avant le code de votre fonction. Ainsi, les requêtes non autorisées n'atteignent jamais votre fonction.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

Une fonction. Consultez Créer une fonction.
Un déclencheur HTTP sur cette fonction. Consultez Configurer un déclencheur HTTP.

Limites

Contrainte	Détails
Jetons par déclencheur	1 à 20
Longueur du nom du jeton	Jusqu'à 128 caractères ; lettres, chiffres, traits de soulignement et tirets uniquement ; ne peut pas commencer par un chiffre ou un tiret
Longueur de la valeur du jeton	32 à 128 caractères ; uniquement des caractères Base64 standard : `A-Z`, `a-z`, `0-9`, `+`, `/`, `=`, `-`, `~`, `.`
Unicité du nom du jeton	Chaque nom doit être unique au sein d'un même déclencheur
Unicité de la valeur du jeton	Les valeurs doivent différer entre les déclencheurs et au sein d'un même déclencheur
Exigence de protocole	Utilisez HTTPS dans les environnements de production. HTTP ne doit servir qu'au développement et aux tests. Function Compute décline toute responsabilité concernant les problèmes de sécurité causés par la fuite de jetons lors de l'utilisation de HTTP.

Activer l'authentification Bearer

Connectez-vous à la console Function Compute. Dans le volet de navigation de gauche, cliquez sur Functions.
Dans la barre de navigation supérieure, sélectionnez une région. Cliquez sur la fonction que vous souhaitez gérer.
Sur la page de détails de la fonction, cliquez sur l'onglet Triggers. Dans la colonne Actions correspondant au déclencheur HTTP, cliquez sur Edit.
Dans le panneau Edit Trigger, définissez Authentication Method sur Bearer Authentication et Token Type sur Opaque.

Dans la section Authentication Token, saisissez la valeur de votre jeton dans tokenData. Pour configurer plusieurs jetons, utilisez la structure JSON suivante :

Avertissement

Les valeurs tokenData ci-dessous sont des espaces réservés. Remplacez-les par vos propres valeurs de jeton avant d'enregistrer. N'utilisez pas les valeurs d'exemple en production.

{
    "tokens": [
        {
            "enable": true,
            "tokenData": "<your-token-value>",
            "tokenName": "<your-token-name>"
        },
        {
            "enable": true,
            "tokenData": "<your-second-token-value>",
            "tokenName": "<your-second-token-name>"
        }
    ]
}

Champ	Description	Exemple
`tokenData`	La chaîne du jeton secret (32 à 128 caractères)	`token-8g***5`
`tokenName`	Un libellé unique pour ce jeton	`primary-token`
`enable`	Indique si le jeton est actif	`true` ou `false`

Pour désactiver un jeton sans le supprimer, définissez "enable": false.

Cliquez sur OK. L'authentification Bearer est désormais active pour ce déclencheur.

Vérifier la configuration

Avertissement

Utilisez toujours HTTPS en production. HTTP transmet les jetons en texte clair, ce qui présente un risque d'exposition. Function Compute décline toute responsabilité concernant les problèmes de sécurité résultant de l'utilisation de HTTP.

Envoyez une requête de test avec votre jeton dans l'en-tête Authorization :

curl --data your-data -X POST \
  -H "Authorization: Bearer <your-token-value>" \
  https://<your-http-trigger-endpoint>

Une réponse réussie confirme que votre fonction a bien reçu la requête. En cas d'erreur, consultez la section Dépannage.

Sécurité

Rotation des jetons sans interruption de service

Chaque déclencheur prend en charge jusqu'à 20 jetons, ce qui permet d'effectuer une rotation sans interrompre les appelants :

Ajoutez un nouveau jeton au déclencheur (en gardant l'ancien jeton activé).
Mettez à jour vos clients pour qu'ils envoient le nouveau jeton.
Une fois que tous les clients utilisent le nouveau jeton, définissez le champ enable de l'ancien jeton sur false ou supprimez-le.

Cette approche sans interruption fonctionne aussi bien pour les rotations planifiées que pour la réponse aux incidents lorsqu'un jeton est compromis.

Responsabilités liées à la gestion des jetons

Function Compute stocke et vérifie vos jetons. Vous êtes responsable des tâches suivantes :

Rotation des jetons ayant fuité ou été compromis
Rotation proactive des jetons utilisés depuis une période prolongée
Génération de valeurs de jeton longues et aléatoires — évitez les combinaisons prévisibles

Dépannage

"Authorization header is expected but missing"

La requête a atteint le déclencheur sans en-tête Authorization. Ajoutez cet en-tête à votre requête :

Authorization: Bearer <your-token-value>

"access denied due to invalid bearer token"

Le jeton était présent mais ne correspondait à aucun jeton activé sur le déclencheur. Vérifiez que vous envoyez la valeur exacte de tokenData, y compris les caractères spéciaux éventuels.

Facturation

L'authentification Bearer n'entraîne aucun coût supplémentaire. Function Compute facture la fonctionnalité de passerelle dans le cadre du nombre standard d'invocations de fonctions, que l'authentification Bearer soit activée ou non.