API Gateway:JWT-auth プラグイン

認証設定

次の表に、consumers の各項目のフィールドを示します。

• 次の表に、from_headers の各項目のフィールドを示します。

  名前	データ型	必須	デフォルト値	説明
  name	string	必須	-	JWT が抽出されるリクエストヘッダーです。
  value_prefix	string	必須	-	ヘッダー値から削除するプレフィックスです。残りの部分が JWT として扱われます。

• 次の表に、claims_to_headers の各項目のフィールドを示します。

  名前	データ型	必須	デフォルト値	説明
  claim	string	必須	-	JWT ペイロード内の指定されたフィールドです。値は文字列または符号なし整数である必要があります。
  header	string	必須	-	抽出されたクレーム値を設定し、バックエンドに転送するためのリクエストヘッダーです。
  override	bool	任意	true	true の場合、同じ名前のリクエストヘッダーが存在すれば、それをオーバーライドします。 false の場合、値を重複するリクエストヘッダーとして追加します。

• 次の表に、remote_jwks の各項目のフィールドを示します。

  名前	データ型	必須	デフォルト値	説明
  uri	string	必須	-	リクエスト URL です。
  service	string	必須	-	Kubernetes サービスの例：foo.default.svc.cluster.local Nacos サービスの例：foo.DEFAULT-GROUP.public.nacos test という名前の DNS サービスの場合、test.dns と入力します。 test という名前の静的 IP サービスの場合、test.static と入力します。
  port	number	必須	-	サービスポートです。
  timeout	number	任意	3000	サービスリクエストのタイムアウト (ミリ秒単位) です。
  ttl	number	任意	30000	キャッシュ期間 (ミリ秒単位) です。

認可設定 (任意)

グローバル認証とルートレベルの認可の設定

この例では、インスタンスレベルでグローバル JWT 認証を有効にし、特定のコンシューマーに対してルートレベルのアクセスを制限します。

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

allow:
- consumer1

allow:
- consumer2

ゲートウェイインスタンスレベルでの有効化と特定ルートでの無効化

インスタンスレベルでプラグインを次のように設定します：

global_auth: true
consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

route-b ルートについては、プラグインを次のように設定します：

_disable_: true

この例では、route-b はゲートウェイルートの作成時に入力されたルート名です。_disable_ が true に設定されているため、リクエストがこのルートに一致すると、プラグインは無効になります。JWT 認証は実行されず、すべてのユーザーにアクセスが許可されます。

route-b ルートに一致しないリクエストについては、インスタンスレベルで global_auth が true に設定されているため、JWT 認証が実行されます。consumer1 と consumer2 の両方にアクセスが許可されます。

ドメイン名レベルでの有効化と特定ルートでの無効化

インスタンスレベルでプラグインを次のように設定します：

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

route-b ルートについては、プラグインを次のように設定します：

_disable_: true

*.example.com ドメイン名については、プラグインを次のように設定します：

allow:
- consumer1
- consumer2

この例では、route-b はゲートウェイルートの作成時に入力されたルート名です。_disable_ が true に設定されているため、リクエストがこのルートに一致すると、プラグインは無効になります。JWT 認証は実行されず、すべてのユーザーにアクセスが許可されます。

この例では、*.example.com はリクエストのドメイン名と照合するために使用されます。ドメイン名が一致する場合、consumer1 または consumer2 という名前の呼び出し元にアクセスが許可されます。他の呼び出し元はアクセスを拒否されます。

ルールは順次照合され、最初に一致したものが適用されると、それ以降のルールは評価されません。ルートのルールはドメイン名のルールよりも優先されるため、あるドメイン名に対してプラグインを有効にし、そのドメイン配下の特定のルートでは無効にするといった設定が可能です。