API Gateway:コンシューマー認証と認可

以下の Java の例では、トークンの生成方法を示しています。他の言語でも同様のツールを使用できます。

1. Maven プロジェクトを作成し、依存関係を追加します。

   プロジェクトに以下の依存関係を追加します。

   <dependency>
       <groupId>org.bitbucket.b_c</groupId>
       <artifactId>jose4j</artifactId>
       <version>0.7.0</version>
   </dependency>

2. トークンを生成する方法を選択します。

   対称キーまたは非対称キーのいずれかを使用してトークンを生成できます。

   対称キー

   サンプルコード：

   package org.example;
   
   import java.io.UnsupportedEncodingException;
   import java.security.PrivateKey;
   
   import org.jose4j.base64url.Base64;
   import org.jose4j.json.JsonUtil;
   import org.jose4j.jwk.OctJwkGenerator;
   import org.jose4j.jwk.OctetSequenceJsonWebKey;
   import org.jose4j.jws.AlgorithmIdentifiers;
   import org.jose4j.jws.JsonWebSignature;
   import org.jose4j.jwt.JwtClaims;
   import org.jose4j.jwt.NumericDate;
   import org.jose4j.keys.HmacKey;
   import org.jose4j.lang.JoseException;
   
   public class Main {
       public static void main(String[] args) throws JoseException, UnsupportedEncodingException {
           // このトピックの例を使用します。
           String privateKeyJson = "{\n"
                   + "    \"k\": \"VoBG-oyqVoyCr9G56ozmq8n_rlDDyYMQOd_DO4GOkEY\",\n"
                   + "    \"kty\": \"oct\",\n"
                   + "    \"alg\": \"HS256\",\n"
                   + "}";
           JwtClaims claims = new JwtClaims();
           claims.setGeneratedJwtId();
           claims.setIssuedAtToNow();
           // 有効期限を 7 日未満に設定します。
           NumericDate date = NumericDate.now();
           date.addSeconds(120*60);
           claims.setExpirationTime(date);
           claims.setNotBeforeMinutesInThePast(1);
           // カスタムパラメーターを追加します。すべての値は String 型である必要があります。
           // コンシューマー識別子を設定します。
           claims.setClaim("uid", "11215ac069234abcb8944232b79ae711");
           JsonWebSignature jws = new JsonWebSignature();
           // 暗号化アルゴリズムを設定します。
           jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.HMAC_SHA256);
           jws.setKey(new HmacKey(Base64.decode(JsonUtil.parseJson(privateKeyJson).get("k").toString())));
           jws.setPayload(claims.toJson());
           String jwtResult = jws.getCompactSerialization();
           System.out.println("Generate Json Web token , result is \n " + jwtResult);
       }
   }

   コードの設定：

   • privateKeyJson： コンシューマーの作成時に使用する JWKS です。コンシューマーの作成時に JWKS を保存するか、コンシューマーの基本設定ページから取得します。

   • コンシューマー識別子を設定します。ステートメントは claims.setClaim("uid", "11215ac069234abcb8944232b79ae711") です。この識別子は、コンシューマーの作成時に自動生成されますが、変更することもできます。コンシューマーの基本設定ページから取得することもできます。

   • 暗号化アルゴリズムを設定します。ステートメントは jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.HMAC_SHA256) です。このアルゴリズムは、JWKS のアルゴリズムと一致する必要があります。

     説明

     サポートされている暗号化アルゴリズムには、ES256、ES384、ES512、RS256、RS384、RS512、PS256、PS384、PS512、HS256、HS384、HS512、および EdDSA が含まれます。

     対称暗号化の場合、"k" の値をデコードする必要があります。

     jws.setKey(new HmacKey(Base64.decode(JsonUtil.parseJson(privateKeyJson).get("k").toString())));

   • 有効期限を設定します。トークンは 7 日以内に期限切れになる必要があります。期限切れ後は、新しいトークンを生成してください。

     ...
         NumericDate date = NumericDate.now();
         date.addSeconds(120*60);
         claims.setExpirationTime(date);
         claims.setNotBeforeMinutesInThePast(1);
     ...

   • 必要に応じて、JWT のペイロードにカスタムパラメーターを追加できます。

   非対称キー

   サンプルコード：

   package org.example;
   
   import java.security.PrivateKey;
   import org.jose4j.json.JsonUtil;
   import org.jose4j.jws.AlgorithmIdentifiers;
   import org.jose4j.jws.JsonWebSignature;
   import org.jose4j.jwt.JwtClaims;
   import org.jose4j.jwt.NumericDate;
   import org.jose4j.lang.JoseException;
   import org.jose4j.jwk.RsaJsonWebKey;
   
   public class Main {
       public static void main(String[] args) throws JoseException {
           // JWK 形式のサンプルキー。
           String privateKeyJson = "{"
                   + "\"kty\":\"RSA\","
                   + "\"n\":\"u-8lR9lyRhu8tl4vRxOl7yfshssx5jRstabc9n4Rxrz102Z7TPFYrXBZHgf67Y0d-zx9tWd5j91WZxLHv4K6VWPN7zEWEQNn3vUg76dPHPzVkZJWziFPS1EvS4a2gRZdrE4nPogaQ72WySVC0yUF2fL0NKeOclD__coCFxn4QQjcDXyu_CUbI_FuDcdw267mVjjylAaFvOZHH0pXsV8m5zXlpc2aiemWYQJD9MtWRcoKlexWMkTwbEqW5-NWAl0Uo202ahDA1NiaQ98Ch4nw6g2E1GvwxxHkbvMuZcs5z8F5Ct_w0IPtvY7ngSyEN-WCU40oj-C5NUCy_73FpXXdWQ\","
                   + "\"e\":\"AQAB\","
                   + "\"d\":\"Uxg1IqSZazg-Y2AXhVTBrJG5egwD3yZU3qiN0IsDbx0DkFoisG2R6PXg4W9j2n7nv7sKVhgPXrXdyys5mIrDuperaVQJzrHzzlgSHQSb7VQ5Vekfanq95a5avAkvTrpF5raTkYl6G3OLZRqNhnA7Oxe6NEHVsOPxnBQignZgFtiBtCSZY4RVH6Dx4jFfBBNMC9ifyLWLpHut7eczvxI412nBkxgtEjSeFe083NlumO_ZYHbijPcQf5zFWPLEj2EvlgbSwhjc-uSAF4OljAyG_DHZYvztEIGMdxMgBHgwtEvCfzS6PeUgvUR-SB7m_L8z4gjz6TlpSYe3CnZqE69KdQ\","
                   + "\"p\":\"9mNw8U_GxbcSknueUeFFSU9wKD9E9P2ZO5RP5d7o3qGUXOfbrH_g5GMH3YJiPBDZs_2BYFrAACOY4YM-QTiXWVs4xS3OeD8AdH3wEXR_3DMEkOez3cNq3Jy3ZJabm7IUnPMIWv5gpIHghcx0YTtM5RabSgexLMKh2-6sB466378\","
                   + "\"q\":\"w0PzXI_8Q5jv15OUq-dV_Z0kp91Icumf6PEERZN4v3i3VolLBnamMiIQiF74ywclKpZmtfOQTfyL41Xj2vbm2Aus6akRsU3NhQlVtIQTzHWUuEQgMIJYDK7--FzEcZORm1qBiEffiWv6U-slyCcLcNDNT-wjMX8BrS4oWHIoCOc\","
                   + "\"dp\":\"fRRiY76yE_EqVn63Eq4ftGXFdEkaQpzzS1GxderBoTO506hI1rtcedTkS0lDgWa0fjE1mqq3SdrIY8NyuT13Z_9tRHxKkrS5EGpWkyXnOuwTZ1SY9P2dpD1SxJfIizPOTxb5qOf2O81LI-F1O18VXD8rultJUIXGEZaKcpO8vpU\","
                   + "\"dq\":\"V6EP_vMzD5b707AMYVURFx7Fi3vX_pHvzJcVBrBW2P6wsGouvDjU_tygtMKCPoL3X_RdJbynfwgeMyihd-ujz0L2F2pjYUF8QP7ecoNvays9UbBpDbwBDbge_pCLLDlAeAqW5PT0UXSew7hcnUVAciGSchKT_Kt1siVrv72DT_M\","
                   + "\"qi\":\"w5fENzxOivbbbUbawAWSuLgWPtvbTKn2XuPzwr_JzZH08-nadWwQFChcvAiCs8V-306TQOh8NfY308QpGDIq-iRfrS7CEePOjRzpHJfsaQ1IFQqzgDZ9VGdJRDlZqRHx0DbqwMlleVKTC6ER6varalbr4lKU-ZPUQLCzj0e4PMs\""
                   + "}";
   
           JwtClaims claims = new JwtClaims();
           claims.setGeneratedJwtId(); // JTI (JWT ID) を自動生成します。
           claims.setIssuedAtToNow();  // 発行時刻 (iat) を現在の時刻に設定します。
   
           // 有効期限を 7 日未満に設定します。
           NumericDate date = NumericDate.now();
           date.addSeconds(120 * 60); // 有効期限を現在から 120 分後に設定します。
           claims.setExpirationTime(date);
           claims.setNotBeforeMinutesInThePast(1); // not before (nbf) 時刻を 1 分前に設定します。
   
           // カスタムパラメーターを追加します。すべての値は String 型である必要があります。
           // コンシューマー識別子を設定します。
           claims.setClaim("uid", "11215ac069234abcb8944232b79ae711");
   
           JsonWebSignature jws = new JsonWebSignature();
           // 暗号化アルゴリズムを RSA-SHA256 に設定します。
           jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256);
   
           // 秘密鍵を解析して署名者に設定します。
           PrivateKey privateKey = new RsaJsonWebKey(JsonUtil.parseJson(privateKeyJson)).getPrivateKey();
           jws.setKey(privateKey);
   
           // ペイロードコンテンツを設定します。
           jws.setPayload(claims.toJson());
   
           // JWT を生成します。
           String jwtResult = jws.getCompactSerialization();
           System.out.println("Generate Json Web token , result is \n " + jwtResult);
       }
   }
   

   コードの設定：

   • privateKeyJson、コンシューマー識別子、および有効期限の設定は、対称暗号化の場合と同様です。

     ステートメント jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256) を使用して暗号化アルゴリズムを設定します。このアルゴリズムは、JWKS のアルゴリズムと一致する必要があります。

     非対称暗号化アルゴリズムの場合、暗号化には秘密鍵を使用する必要があります。

     ...
         jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256);
         PrivateKey privateKey = new RsaJsonWebKey(JsonUtil.parseJson(privateKeyJson)).getPrivateKey();
         jws.setKey(privateKey);
     ...

   • JWT の PAYLOAD にカスタムパラメーターを追加できます。

ステップ 1： 署名対象文字列の抽出

HTTP リクエストから主要なデータを抽出し、次の形式で署名対象文字列として組み立てます。

HTTPMethod
Accept
Content-MD5
Content-Type
Date
Headers
PathAndParameters

これらの 7 つのフィールドが署名対象文字列を構成し、改行文字 (\n) で区切られます。Headers フィールドが空の場合、その後に改行は必要ありません。その他の空のフィールドについては、改行文字を含めます。署名は、大文字と小文字を区別します。各フィールドは次のように抽出されます。

• HTTPMethod： HTTP メソッド (大文字)。例： POST。

• Accept： Accept ヘッダーの値。空にすることも可能です。Accept ヘッダーを明示的に設定することを推奨します。空の場合、一部の HTTP クライアントはデフォルト値として */* を設定するため、署名検証が失敗します。

• Content-MD5： Content-MD5 ヘッダーの値。空にすることも可能です。フォーム以外のボディを持つリクエストに対してのみ計算します。以下の Java コードは、Content-MD5 値の計算方法を示しています。

  String contentMD5 = Base64.encodeBase64(MD5(bodyStream.getBytes("UTF-8")));

• Content-Type： Content-Type ヘッダーの値。空にすることも可能です。

• Date： Date ヘッダーの値。date_offset が有効になっていない場合、この値は空にすることも可能です。それ以外の場合は、時間オフセット検証に使用されます。

• Headers： 署名に含める特定のヘッダーを選択します。次のように連結します。

  • ヘッダーキーをアルファベット順にソートして連結します。

    HeaderKey1 + ":" + HeaderValue1 + "\n"\+
    HeaderKey2 + ":" + HeaderValue2 + "\n"\+
    ...
    HeaderKeyN + ":" + HeaderValueN + "\n"

  • ヘッダーの値が空の場合、署名には HeaderKey+":"+"\n" を使用し、キーとコロンを保持します。

  • すべての署名対象ヘッダーのキーを X-Ca-Signature-Headers ヘッダーにカンマ区切りでリストします。

  • 次のヘッダーは署名計算に含まれません： X-Ca-Signature、X-Ca-Signature-Headers、Accept、Content-MD5、Content-Type、および Date。

• PathAndParameters： パス、クエリパラメーター、およびフォームパラメーターが含まれます。次のように構成されます。

  Path + "?" + Key1 + "=" + Value1 + "&" + Key2 + "=" + Value2 + ... "&" + KeyN + "=" + ValueN

  重要

  • 連結する前に、クエリパラメーターとフォームパラメーターのキーをアルファベット順にソートします。

  • クエリパラメーターとフォームパラメーターが空の場合は、? を付けずに Path を直接使用します。

  • パラメーターの値が空の場合は、キーのみを含めます。等号 (=) は含まれません。

  • クエリまたはフォームに配列パラメーター (同じキー、異なる値) が含まれている場合は、署名計算に最初の値を使用します。

ステップ 2： 署名の作成

署名対象文字列を暗号化およびエンコードして、最終的な署名を生成します。次の例では、stringToSign は抽出された文字列、secret は AK/SK 設定の SK、sign は生成された署名です。

Mac hmacSha256 = Mac.getInstance("HmacSHA256");
byte[] secretBytes = secret.getBytes("UTF-8");
hmacSha256.init(new SecretKeySpec(secretBytes, 0, secretBytes.length, "HmacSHA256"));
byte[] result = hmacSha256.doFinal(stringToSign.getBytes("UTF-8"));
String sign = Base64.encodeBase64String(result);

stringToSign を UTF-8 バイト配列にエンコードし、暗号化して、結果を Base64 エンコードして署名を生成します。

ステップ 3： リクエストへの署名の追加

署名検証のために、HTTP リクエストに次の 4 つのヘッダーを含めます。

• x-ca-key： AK/SK 認証設定の AK。

• x-ca-signature-method： 署名アルゴリズム。有効な値は HmacSHA256 または HmacSHA1 です。これはオプションであり、デフォルトは HmacSHA256 です。

• x-ca-signature-headers： 署名に含まれるすべてのヘッダーキーのカンマ区切りリスト。これはオプションです。

• x-ca-signature： 署名。これは必須です。