API Gateway：Autentikasi token berbasis JWT

Ikhtisar

Banyak API publik perlu mengidentifikasi pemanggil untuk menentukan apakah akan memberikan akses ke resource yang diminta. Token merupakan mekanisme yang digunakan untuk verifikasi identitas. Dengan menggunakan token, aplikasi tidak perlu menyimpan informasi autentikasi atau sesi pengguna di server, sehingga memungkinkan otorisasi aplikasi web terdistribusi yang tanpa status dan menyederhanakan skalabilitas aplikasi.

Alur kerja

Gambar di atas menunjukkan alur kerja autentikasi Plugin JWT API Gateway, yang dijelaskan dalam langkah-langkah berikut:

1. Sebuah client mengirim permintaan yang berisi token ke API Gateway.

2. API Gateway menggunakan kunci publik yang dikonfigurasi di Plugin JWT untuk memverifikasi token dalam permintaan tersebut. Jika token valid, API Gateway meneruskan permintaan ke layanan backend.

3. Layanan backend memproses permintaan dan mengembalikan respons.

4. API Gateway mengembalikan respons dari layanan backend ke client.

Selama proses ini, API Gateway menggunakan mekanisme autentikasi token untuk mengotorisasi akses API berdasarkan sistem pengguna Anda. Bagian berikut menjelaskan JWT, yaitu token terstruktur yang digunakan API Gateway untuk autentikasi.

JWT

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

{
  'typ': 'JWT',
  'alg': 'HS256'
}

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

iss: Penerbit token. Klaim ini berupa string yang menunjukkan siapa yang membuat token.
sub: Subject Identifier. Pengidentifikasi end user, yang disediakan oleh penerbit. Nilai ini unik dalam cakupan penerbit, case-sensitive, dan memiliki panjang maksimum 255 karakter ASCII.
aud: Audience(s). Penerima yang dituju oleh token. Ini adalah array string yang case-sensitive.
exp: Waktu kedaluwarsa. Timestamp saat token kedaluwarsa. Token menjadi tidak valid setelah waktu ini. Klaim ini berupa bilangan bulat yang merepresentasikan jumlah detik sejak 1970-01-01T00:00:00Z.
iat: Issued at. Waktu penerbitan token. Klaim ini berupa bilangan bulat yang merepresentasikan jumlah detik sejak 1970-01-01T00:00:00Z.
jti: JWT ID. Pengidentifikasi unik untuk token. Nilai klaim ini unik untuk setiap token yang dibuat oleh penerbit. Untuk mencegah konflik, biasanya berupa nilai acak kriptografis. Nilai ini menambahkan komponen entropi acak pada token terstruktur yang tidak dapat diperoleh penyerang, sehingga membantu mencegah serangan tebakan dan replay token.

{
  "sub": "1234567890",
  "name": "John Doe"
}

JTdCJTBBJTIwJTIwJTIyc3ViJTIyJTNBJTIwJTIyMTIzNDU2Nzg5MCUyMiUyQyUwQSUyMCUyMCUyMm5hbWUlMjIlM0ElMjAlMjJKb2huJTIwRG9lJTIyJTBBJTdE

// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, '$secret');

2.1 Hasilkan pasangan JWK

<dependency>
     <groupId>org.bitbucket.b_c</groupId>
    <artifactId>jose4j</artifactId>
    <version>0.7.0</version>
</dependency>

RsaJsonWebKey rsaJsonWebKey = RsaJwkGenerator.generateJwk(2048);
rsaJsonWebKey.setKeyId("authServer");
final String publicKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.PUBLIC_ONLY);
final String privateKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.INCLUDE_PRIVATE);

2.2 Gunakan kunci privat dalam JWK untuk mengimplementasikan layanan penerbitan token

Gunakan string JSON kunci privat JWK yang dihasilkan secara online atau string JSON privateKeyString yang dihasilkan secara lokal di Bagian 2.1 sebagai kunci privat untuk menerbitkan token. Token ini mengotorisasi pengguna tepercaya untuk mengakses API yang dilindungi. Untuk informasi selengkapnya, lihat Contoh kode untuk layanan penerbitan token. Metode penerbitan token bergantung pada skenario bisnis Anda. Anda dapat men-deploy fitur penerbitan token ke lingkungan produksi dan mengonfigurasinya sebagai API standar. Pengguna kemudian dapat memperoleh token dengan memberikan username dan password. Atau, Anda dapat menghasilkan token di lingkungan lokal dan memberikannya langsung kepada pengguna tertentu.

2.3 Konfigurasikan kunci publik dari JWK di Plugin JWT

1. Masuk ke Konsol API Gateway.

2. Pada panel navigasi di sebelah kiri, pilih Manage APIs > Plug-ins.

3. Pada halaman manajemen plug-in, klik Create Plug-in di pojok kanan atas.

4. Pada halaman Create Plug-in, atur Plug-in Name dan Plug-in Type. Kode berikut menunjukkan contoh konfigurasi untuk plug-in autentikasi JWT. Untuk informasi selengkapnya tentang konfigurasi, lihat Plug-in autentikasi JWT.

---
parameter: X-Token         # Parameter tempat JWT diambil. Ini sesuai dengan parameter API.
parameterLocation: header  # Lokasi pembacaan JWT. Parameter ini opsional jika mode permintaan API adalah mapping. Parameter ini wajib jika mode permintaan API adalah pass-through. Nilai yang valid: query dan header.
claimParameters:           # Konversi parameter klaim. Gerbang memetakan klaim JWT ke parameter backend.
- claimName: aud           # Nama klaim. Mendukung klaim publik dan privat.
  parameterName: X-Aud     # Nama parameter yang dipetakan.
  location: header         # Lokasi parameter yang dipetakan. Nilai yang valid: query, header, path, dan formData.
- claimName: userId        # Nama klaim. Mendukung klaim publik dan privat.
  parameterName: userId    # Nama parameter yang dipetakan.
  location: query          # Lokasi parameter yang dipetakan. Nilai yang valid: query, header, path, dan formData.
preventJtiReplay: false    # Menentukan apakah akan mengaktifkan pemeriksaan anti-replay untuk jti. Nilai default: false.
#
# Kunci publik JSON Web Key (JWK), yaitu bagian kunci publik yang dihasilkan di Bagian 2.1.
jwk:
  kty: RSA
  e: AQAB
  use: sig
  kid: uniq_key
  alg: RS256
  n: qSVxcknOm0uCq5vGsOmaorPDzHUubBmZZ4UXj-9do7w9X1uKFXAnqfto4TepSNuYU2bA_-tzSLAGBsR-BqvT6w9SjxakeiyQpVmexxnDw5WZwpWenUAcYrfSPEoNU-0hAQwFYgqZwJQMN8ptxkd0170PFauwACOx4Hfr-9FPGy8NCoIO4MfLXzJ3mJ7xqgIZp3NIOGXz-GIAbCf13ii7kSStpYqN3L_zzpvXUAos1FJ9IPXRV84tIZpFVh2lmRh0h8ImK-vI42dwlD_hOIzayL1Xno2R0T-d5AwTSdnep7g-Fwu8-sj4cCRWq3bd61Zs2QOJ8iustH0vSRMYdP5oYQ

2.4 Ikat Plugin JWT ke API

Pada halaman Manajemen Plug-in, temukan plug-in autentikasi JWT yang telah Anda buat dan klik Bind API. Pada kotak dialog yang muncul, pilih API dari grup dan lingkungan yang ditentukan, tambahkan ke daftar di sebelah kanan, lalu klik OK.

Fitur debugging API di Konsol API Gateway tidak mendukung Plugin JWT. Untuk menguji API yang terikat pada Plugin JWT, Anda dapat menggunakan tool seperti Postman atau menjalankan perintah curl.