API Gateway:Otentikasi token berbasis JWT

Ikhtisar

Banyak API publik harus mengidentifikasi pemanggil untuk menentukan apakah akan memberikan akses ke sumber daya yang diminta. Token merupakan mekanisme otentikasi. Dengan otentikasi berbasis token, aplikasi tidak perlu menyimpan informasi otentikasi atau sesi pengguna di server, sehingga memungkinkan otorisasi aplikasi web terdistribusi yang tanpa status dan menyederhanakan skalabilitas aplikasi.

Alur kerja

API Gateway menggunakan Plugin JWT untuk menangani otentikasi. Alur kerjanya sebagai berikut:

1. Klien mengirim permintaan yang mencakup token ke API Gateway.

2. API Gateway menggunakan kunci publik yang dikonfigurasi dalam Plugin JWT untuk memverifikasi token tersebut. Jika token valid, API Gateway meneruskan permintaan ke layanan backend.

3. Layanan backend memproses permintaan dan mengembalikan respons.

4. API Gateway mengembalikan respons dari layanan backend ke klien.

Sepanjang proses ini, API Gateway menggunakan otentikasi token untuk mengotorisasi akses API berdasarkan sistem pengguna Anda sendiri. Bagian-bagian berikut menjelaskan JSON Web Token (JWT), yang digunakan oleh API Gateway untuk otentikasi.

JWT

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

{
  'typ': 'JWT',
  'alg': 'HS256'
}

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

iss: Issuer. Pihak yang berwenang yang menerbitkan token. Klaim ini berupa string.
sub: Subject. Pihak yang menjadi subjek token. Nilai ini unik dalam cakupan penerbit. Ini adalah string case-sensitive dengan panjang maksimum 255 karakter ASCII.
aud: Audience. Penerima yang dituju oleh token. Ini adalah array string case-sensitive.
exp: Expiration Time. Waktu setelah token dianggap tidak valid. Klaim ini berupa integer yang merepresentasikan jumlah detik sejak 1970-01-01T00:00:00Z.
iat: Issued At. Waktu penerbitan token. Klaim ini berupa integer yang merepresentasikan jumlah detik sejak 1970-01-01T00:00:00Z.
jti: JWT ID. Pengenal unik untuk token. Nilai ini unik untuk setiap token yang dibuat oleh penerbit yang sama dan sering kali merupakan nilai acak kriptografis untuk mencegah tabrakan. Nilai ini menambahkan komponen entropi acak pada token terstruktur yang tidak dapat diperoleh penyerang, sehingga membantu mencegah tebakan token dan serangan replay.

{
  "sub": "1234567890",
  "name": "John Doe"
}

JTdCJTBBJTIwJTIwJTIyc3ViJTIyJTNBJTIwJTIyMTIzNDU2Nzg5MCUyMiUyQyUwQSUyMCUyMCUyMm5hbWUlMjIlM0ElMjAlMjJKb2huJTIwRG9lJTIyJTBBJTdE

// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, '$secret');

2.1 Hasilkan pasangan JSON Web Key (JWK)

<dependency>
     <groupId>org.bitbucket.b_c</groupId>
    <artifactId>jose4j</artifactId>
    <version>0.7.0</version>
</dependency>

RsaJsonWebKey rsaJsonWebKey = RsaJwkGenerator.generateJwk(2048);
rsaJsonWebKey.setKeyId("authServer");
final String publicKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.PUBLIC_ONLY);
final String privateKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.INCLUDE_PRIVATE);

2.2 Implementasikan layanan penerbitan token

Gunakan string JSON JWK kunci publik yang dihasilkan secara online di Bagian 2.1 atau string JSON privateKeyString yang dihasilkan secara lokal sebagai kunci privat untuk menerbitkan token. Token-token ini mengotorisasi pengguna tepercaya untuk mengakses API yang dilindungi. Untuk informasi lebih lanjut, lihat Kode contoh untuk layanan penerbitan dan otentikasi token. Cara Anda menerbitkan token bergantung pada skenario bisnis Anda. Anda dapat men-deploy fitur penerbitan token ke lingkungan produksi sebagai API biasa yang memungkinkan pengunjung memperoleh token dengan username dan password, atau menghasilkan token secara lokal dan memberikannya langsung kepada pengguna tertentu.

2.3 Konfigurasikan plugin JWT

1. Masuk ke Konsol API Gateway.

2. Di panel navigasi sebelah kiri, pilih API Management > Plug-in Management.

3. Di halaman manajemen plug-in, klik Create Plug-in di pojok kanan atas.

4. Di halaman Create Plug-in, atur Plug-in Name dan pilih Plug-in Type. Kode berikut adalah contoh konfigurasi untuk Plugin JWT. Untuk informasi lebih lanjut tentang konfigurasi, lihat Plugin otentikasi JWT.

---
parameter: X-Token         # Parameter tempat mengambil JWT. Ini sesuai dengan parameter API.
parameterLocation: header  # Lokasi pembacaan JWT. Parameter ini opsional jika API dalam mode mapping, tetapi wajib jika API dalam mode pass-through. Nilai yang valid: `query` dan `header`.
claimParameters:           # Pemetaan parameter klaim. API Gateway memetakan klaim JWT ke parameter backend.
- claimName: aud           # Nama klaim. Klaim publik dan privat didukung.
  parameterName: X-Aud     # Nama parameter yang dipetakan.
  location: header         # Lokasi parameter yang dipetakan. Nilai yang valid: `query`, `header`, `path`, dan `formData`.
- claimName: userId        # Nama klaim. Klaim publik dan privat didukung.
  parameterName: userId    # Nama parameter yang dipetakan.
  location: query          # Lokasi parameter yang dipetakan. Nilai yang valid: `query`, `header`, `path`, dan `formData`.
preventJtiReplay: false    # Menentukan apakah akan mengaktifkan pemeriksaan anti-replay untuk klaim `jti`. Nilai default: false.
# Kunci publik JSON Web Key (JWK) yang dihasilkan di bagian 2.1.
jwk:
  kty: RSA
  e: AQAB
  use: sig
  kid: uniq_key
  alg: RS256
  n: qSVxcknOm0uCq5vGsOmaorPDzHUubBmZZ4UXj-9do7w9X1uKFXAnqfto4TepSNuYU2bA_-tzSLAGBsR-BqvT6w9SjxakeiyQpVmexxnDw5WZwpWenUAcYrfSPEoNU-0hAQwFYgqZwJQMN8ptxkd0170PFauwACOx4Hfr-9FPGy8NCoIO4MfLXzJ3mJ7xqgIZp3NIOGXz-GIAbCf13ii7kSStpYqN3L_zzpvXUAos1FJ9IPXRV84tIZpFVh2lmRh0h8ImK-vI42dwlD_hOIzayL1Xno2R0T-d5AwTSdnep7g-Fwu8-sj4cCRWq3bd61Zs2QOJ8iustH0vSRMYdP5oYQ

2.4 Ikat plugin JWT ke API

Di halaman Plug-ins, temukan Plugin JWT yang telah Anda buat dan klik Bind API. Di kotak dialog, pilih API dari kelompok API dan lingkungan yang ditentukan, tambahkan ke daftar di sebelah kanan, lalu klik OK.

Jika API sudah terikat ke plug-in dengan jenis yang sama, plug-in baru akan menimpa yang lama. Lakukan dengan hati-hati.

Fitur debugging API di Konsol API Gateway tidak mendukung Plugin JWT. Untuk menguji API yang terikat ke plug-in tersebut, gunakan tool seperti Postman atau jalankan perintah curl.