API Gateway:jwt-auth プラグイン

認証構成

次の表は、consumers 内の各項目のフィールドについて説明しています。

• 次の表は、from_headers 内の各項目のフィールドについて説明しています。

  名前	データ型	必須	デフォルト値	説明
  name	文字列	必須	-	JWT を抽出するリクエストヘッダー。
  value_prefix	文字列	必須	-	ヘッダー値から削除するプレフィックス。残りの部分が JWT として扱われます。

• 次の表は、claims_to_headers 内の各項目のフィールドについて説明しています。

  名前	データ型	必須	デフォルト値	説明
  claim	文字列	必須	-	JWT ペイロード内の指定されたフィールド。値は文字列または符号なし整数である必要があります。
  header	文字列	必須	-	ペイロードからのフィールド値をこのリクエストヘッダーに設定し、バックエンドに転送します。
  override	bool	任意	true	true の場合、同じ名前のリクエストヘッダーが存在する場合は上書きします。 false の場合、重複するリクエストヘッダーが追加されます。

• 次の表は、remote_jwks 内の各項目のフィールドについて説明しています。

  名前	データ型	必須	デフォルト値	説明
  uri	文字列	必須	-	リクエスト URL。
  service	文字列	必須	-	Kubernetes サービスの例：foo.default.svc.cluster.local Nacos サービスの例：foo.DEFAULT-GROUP.public.nacos test という名前の DNS サービスの場合、test.dns と入力します。 test という名前の静的 IP サービスの場合、test.static と入力します。
  port	bool	必須	-	サービスポート。
  timeout	bool	任意	3000	サービスリクエストのタイムアウト（ミリ秒単位）。
  ttl	bool	任意	30000	キャッシュの持続時間（ミリ秒単位）。

権限付与構成（任意）

グローバル認証とルートレベルの権限付与の構成

次の構成により、特定のゲートウェイルートまたはドメイン名に対して JWT 認証および権限付与が有効になります。

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

allow:
- consumer1

allow:
- consumer2

ゲートウェイインスタンスレベルで有効化し、特定のルートで無効化

インスタンスレベルでプラグインを次のように構成します。

global_auth: true
consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

route-b ルートに対して、プラグインを次のように構成します。

_disable_: true

この例では、route-b はゲートウェイルート作成時に指定したルート名です。_disable_ が true に設定されているため、このルートにマッチするリクエストに対してはプラグインが無効になります。JWT 認証は実行されず、すべてのユーザーがアクセスを許可されます。

リクエストが route-b ルートにマッチしない場合、グローバル構成で global_auth が true に設定されているため、すべてのリクエストに対して JWT 認証が実行されます。consumer1 および consumer2 の両方がアクセスを許可されます。

ドメイン名レベルで有効化し、特定のルートで無効化

インスタンスレベルでプラグインを次のように構成します。

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

route-b ルートに対して、プラグインを次のように構成します。

_disable_: true

*.example.com ドメイン名に対して、プラグインを次のように構成します。

allow:
- consumer1
- consumer2

この例では、route-b はゲートウェイルート作成時に指定したルート名です。_disable_ が true に設定されているため、このルートにマッチするリクエストに対してはプラグインが無効になります。JWT 認証は実行されず、すべてのユーザーがアクセスを許可されます。

この例では、*.example.com はリクエストのドメイン名とのマッチングに使用されます。ドメイン名がマッチする場合、consumer1 または consumer2 という名前の呼び出し元がアクセスを許可されます。他の呼び出し元はアクセスが拒否されます。

構成ルールは順番にマッチングされます。ルールがマッチすると、その構成が実行され、それ以降のルールは評価されません。ルートマッチングはドメイン名マッチングよりも優先度が高いため、ドメイン名に対してプラグインを有効化しつつ、そのドメイン名下の特定のルートに対しては無効化できます。