API Gateway:jwt-ログアウト

適用シナリオ

JWTはステートレストークンです。 JWTが発行された場合、有効期限が切れるまで有効です。 特定のjwtが使用されている場合、JWT-logoutプラグインを使用して強制ログオフを実装できます。

仕組み

• リクエストパスのサフィックスがプラグイン構成のパスと一致する場合、ログオフメカニズムがトリガーされます。 ApsaraDB for Redisインスタンスは、ログオフのJWTを記録します。 ApsaraDB for Redisインスタンスに格納されているキーは、設定されたプレフィックスと、現在のJWTペイロードから抽出されたキーと値で構成されます。

• リクエストに含まれるJWTのペイロードがApsaraDB for Redisインスタンスに格納されているキーの特性と一致する場合、システムは現在のJWTが無効であると見なし、リクエストを拒否します。

• ApsaraDB for Redisインスタンスに保存されているキーのデフォルトの有効期限は、JWTペイロードのexpフィールドに基づいて計算されます。 これは、JWTが期限切れになるまでキーを格納できることを意味します。

例

プラグイン設定:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. ログオフをトリガーします。

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message": "logout success"}

   トークンpayload:

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   この場合、キーhigress_jwt_logout_jti##xxxxはApsaraDB for Redisインスタンスに格納されます。

2. ログオフ後、JWTに基づくアクセスは許可されません。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message":"invalid token"}

適用シナリオ

アカウントが複数のデバイスへのログオンに使用され、JWT認証がログオンに使用される場合、異なるJWTが異なるデバイス上で発行され得る。 この場合、jwt-logoutプラグインを使用して、アカウントが一度に1つのデバイスにのみログオンできるようにすることができます。

仕組み

• リクエストが開始されると、システムは現在のリクエストからJWTを抽出し、設定されたプレフィックスと現在のJWTペイロードから抽出されたキーと値に基づいてRedisキーを構成します。 次に、システムはApsaraDB for Redisインスタンスのキーに対応する値を照会します。 値が現在のJWTのキー値と一致しない場合、システムはアクセス要求を拒否します。

• 値が存在しない場合、現在のJWTがRedisキーに書き込まれます。 ApsaraDB for Redisインスタンスのキーのデフォルトの有効期限は、JWTペイロードのexpフィールドに基づいて計算されます。 これは、JWTが期限切れになるまでキーを格納できることを意味します。 JWTの有効期間中、同じペイロード特性を有する他のJWTに基づくアクセス要求は許可されない。

• リクエストサフィックスがプラグイン構成のパスと一致する場合、強制ログオフメカニズムがトリガーされ、現在のJWTが関連するRedisキーの値に書き込まれます。 正常なログオンに使用され、同じペイロード特性を持つJWTは、ログオフ時に無効になります。 これにより、単一デバイスのログオンが保証されます。

例

プラグイン設定:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. 正常にログオン操作を実行します。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   トークンpayload:

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   この場合、higress_jwt_login_iss#aud#sub###abc d#www.example.com#abcdキーはApsaraDB for Redisインスタンスに格納され、値は現在のJWTと同じです。

2. リクエスト内のJWTペイロードが同じペイロード特性を持つ場合、アクセスリクエストを拒否します。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"already login on other device"}

   トークンpayload:

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   ペイロード特性は、現在のJWTおよびステップ1のJWTについて同じである。 しかしながら、非特性体jtiは、2つのJWT間で異なる。 したがって、JWTに基づくアクセス要求は拒否される。

3. 強制ログオンを実行します。

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"login success"}

   この場合、higress_jwt_login_iss#aud#sub###abc d#www.example.com#abcdキーはApsaraDB for Redisインスタンスに格納され、値は現在のJWTの値に置き換えられます。

   現在のJWTを使用して、ページに正常にアクセスします。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   手順1でJWTを使用すると、失敗メッセージが返されます。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # The following result is returned:
   {"message":"already login on other device"}