API Gateway:JWT ベースのトークン認証

1. トークンベースの認証

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

{
  'typ': 'JWT',
  'alg': 'HS256'
}

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

iss: トークンの発行者。このクレームは、誰がトークンを作成したかを示す文字列です。
sub: サブジェクト識別子。発行者によって提供されるエンドユーザーの識別子です。発行者のスコープ内で一意であり、大文字と小文字を区別し、最大長は 255 ASCII 文字です。
aud: 受信者。トークンの対象となる受信者です。これは、大文字と小文字を区別する文字列の配列です。
exp: 有効期限。トークンが有効期限切れになるタイムスタンプです。この時刻を過ぎると、トークンは無効になります。このクレームは、1970-01-01T00:00:00Z からの秒数を表す整数です。
iat: 発行時刻。トークンが発行された時刻です。このクレームは、1970-01-01T00:00:00Z からの秒数を表す整数です。
jti: JWT ID。トークンの一意の識別子です。このクレームの値は、発行者によって作成される各トークンで一意です。競合を防ぐために、通常は暗号学的にランダムな値が使用されます。この値は、攻撃者が取得できないランダムエントロピーコンポーネントを構造化トークンに追加し、トークン推測やリプレイ攻撃を防ぐのに役立ちます。

{
  "sub": "1234567890",
  "name": "John Doe"
}

JTdCJTBBJTIwJTIwJTIyc3ViJTIyJTNBJTIwJTIyMTIzNDU2Nzg5MCUyMiUyQyUwQSUyMCUyMCUyMm5hbWUlMjIlM0ElMjAlMjJKb2huJTIwRG9lJTIyJTBBJTdE

// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, '$secret');

2. JWT プラグインを使用した API の保護

<dependency>
     <groupId>org.bitbucket.b_c</groupId>
    <artifactId>jose4j</artifactId>
    <version>0.7.0</version>
</dependency>

RsaJsonWebKey rsaJsonWebKey = RsaJwkGenerator.generateJwk(2048);
rsaJsonWebKey.setKeyId("authServer");
final String publicKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.PUBLIC_ONLY);
final String privateKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.INCLUDE_PRIVATE);

---
parameter: X-Token         # JWT を取得するパラメーター。API のパラメーターに対応します。
parameterLocation: header  # JWT を読み取る場所。API リクエストモードがマッピングの場合、このパラメーターはオプションです。API リクエストモードがパススルーの場合、このパラメーターは必須です。有効な値：query、header。
claimParameters:           # クレームパラメーター変換。ゲートウェイは JWT クレームをバックエンドパラメーターにマッピングします。
- claimName: aud           # クレーム名。パブリッククレームとプライベートクレームがサポートされています。
  parameterName: X-Aud     # マッピングされるパラメーター名。
  location: header         # マッピングされるパラメーターの場所。有効な値：query、header、path、formData。
- claimName: userId        # クレーム名。パブリッククレームとプライベートクレームがサポートされています。
  parameterName: userId    # マッピングされるパラメーター名。
  location: query          # マッピングされるパラメーターの場所。有効な値：query、header、path、formData。
preventJtiReplay: false    # jti のリプレイ防止チェックを有効にするかどうかを指定します。デフォルト値：false。
#
# JSON Web Key (JWK) の公開鍵。セクション 2.1 で生成された公開鍵部分です。
jwk:
  kty: RSA
  e: AQAB
  use: sig
  kid: uniq_key
  alg: RS256
  n: qSVxcknOm0uCq5vGsOmaorPDzHUubBmZZ4UXj-9do7w9X1uKFXAnqfto4TepSNuYU2bA_-tzSLAGBsR-BqvT6w9SjxakeiyQpVmexxnDw5WZwpWenUAcYrfSPEoNU-0hAQwFYgqZwJQMN8ptxkd0170PFauwACOx4Hfr-9FPGy8NCoIO4MfLXzJ3mJ7xqgIZp3NIOGXz-GIAbCf13ii7kSStpYqN3L_zzpvXUAos1FJ9IPXRV84tIZpFVh2lmRh0h8ImK-vI42dwlD_hOIzayL1Xno2R0T-d5AwTSdnep7g-Fwu8-sj4cCRWq3bd61Zs2QOJ8iustH0vSRMYdP5oYQ

3. トークン発行サービスのサンプルコード

import java.security.PrivateKey; 
import org.jose4j.json.JsonUtil;
import org.jose4j.jwk.RsaJsonWebKey;
import org.jose4j.jwk.RsaJwkGenerator;
import org.jose4j.jws.AlgorithmIdentifiers;
import org.jose4j.jws.JsonWebSignature;
import org.jose4j.jwt.JwtClaims;
import org.jose4j.jwt.NumericDate;
import org.jose4j.lang.JoseException;
public class GenerateJwtDemo {
    public static void main(String[] args) throws JoseException  {
          // API Gateway で設定された keyId を使用します。
        String keyId = "uniq_key";
          // セクション 2.1 で生成されたキーペアを使用します。
        String privateKeyJson = "{\n"
            + "  \"kty\": \"RSA\",\n"
            + "  \"d\": "
            +
            "\"O9MJSOgcjjiVMNJ4jmBAh0mRHF_TlaVva70Imghtlgwxl8BLfcf1S8ueN1PD7xV6Cnq8YenSKsfiNOhC6yZ_fjW1syn5raWfj68eR7cjHWjLOvKjwVY33GBPNOvspNhVAFzeqfWneRTBbga53Agb6jjN0SUcZdJgnelzz5JNdOGaLzhacjH6YPJKpbuzCQYPkWtoZHDqWTzCSb4mJ3n0NRTsWy7Pm8LwG_Fd3pACl7JIY38IanPQDLoighFfo-Lriv5z3IdlhwbPnx0tk9sBwQBTRdZ8JkqqYkxUiB06phwr7mAnKEpQJ6HvhZBQ1cCnYZ_nIlrX9-I7qomrlE1UoQ\",\n"
            + "  \"e\": \"AQAB\",\n"
            + "  \"kid\": \"myJwtKey\",\n"
            + "  \"alg\": \"RS256\",\n"
            + "  \"n\": \"vCuB8MgwPZfziMSytEbBoOEwxsG7XI3MaVMoocziP4SjzU4IuWuE_DodbOHQwb_thUru57_Efe"
            +
            "--sfATHEa0Odv5ny3QbByqsvjyeHk6ZE4mSAV9BsHYa6GWAgEZtnDceeeDc0y76utXK2XHhC1Pysi2KG8KAzqDa099Yh7s31AyoueoMnrYTmWfEyDsQL_OAIiwgXakkS5U8QyXmWicCwXntDzkIMh8MjfPskesyli0XQD1AmCXVV3h2Opm1Amx0ggSOOiINUR5YRD6mKo49_cN-nrJWjtwSouqDdxHYP-4c7epuTcdS6kQHiQERBd1ejdpAxV4c0t0FHF7MOy9kw\"\n"
            + "}";
        JwtClaims claims = new JwtClaims();
        claims.setGeneratedJwtId();
        claims.setIssuedAtToNow();
        // 有効期限は 7 日未満に設定する必要があります。
        NumericDate date = NumericDate.now();
        date.addSeconds(120*60);
        claims.setExpirationTime(date);
        claims.setNotBeforeMinutesInThePast(1);
        claims.setSubject("YOUR_SUBJECT");
        claims.setAudience("YOUR_AUDIENCE");
        // カスタムパラメーターを追加します。すべての値は String 型である必要があります。
        claims.setClaim("userId", "1213234");
        claims.setClaim("email", "userEm***@youapp.com");
        JsonWebSignature jws = new JsonWebSignature();
        jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256);
          // このパラメーターは必須です。
        jws.setKeyIdHeaderValue(keyId);
        jws.setPayload(claims.toJson());
        PrivateKey privateKey = new RsaJsonWebKey(JsonUtil.parseJson(privateKeyJson)).getPrivateKey();
        jws.setKey(privateKey);
        String jwtResult = jws.getCompactSerialization();
        System.out.println("Generate Json Web token , result is " + jwtResult);
    }
}

上記の例に関する注意点は以下のとおりです。

1. keyId はグローバルに一意であり、以下の場所で一貫している必要があります。

• JSON Web Key (JWK) キーペアの生成セクションでキーを生成する際に指定する keyId。

• JWT プラグインでの JWK 公開鍵の構成セクションで構成する kid。

• コード内の keyId。これは JsonWebSignature オブジェクトの KeyIdHeaderValue プロパティの値です。このプロパティは必須です。

2. privateKeyJson パラメーターは、セクション 2.1 で説明されているようにオンラインで生成されるか、ローカルで生成される公開鍵の JWK JSON 文字列です。

   privateKeyString JSON 文字列。

3. 有効期間は必須であり、7 日未満にする必要があります。

4. すべてのカスタムパラメーターには String 値を使用してください。

4. API Gateway のエラー応答

予期しないステータスコードを受け取った場合は、HTTP 応答の X-Ca-Error-Code ヘッダーで ErrorCode を、X-Ca-Error-Message ヘッダーで ErrorMessage を確認してください。エラーコードが A403JT または I400JD の場合は、jwt.io Web サイトを使用して、ご利用の token の有効性とフォーマットを確認できます。