Edge Security Acceleration:API トークンコンプライアンス検証

制限事項

API トークンコンプライアンス検証には、次の制限事項があります。

• 対応トークンタイプ：現在、JSON Web Token (JWT) のみに対応しています。

• 公開鍵のフォーマット：JWK フォーマットのみに対応しています。JWT 公開鍵には、kid および alg フィールドを含める必要があります。

• 署名アルゴリズム：現在、ES256 (SHA-256 を使用した ECDSA) と RS256 (SHA-256 を使用した RSA) の署名アルゴリズムに対応しています。

前提条件

• サイトが ESA に追加されていること。

• JWK フォーマットの JWT 公開鍵。キーペアを生成するには、「JWT の生成方法」をご参照ください。

API トークンルールの設定

API トークンコンプライアンス検証を有効にするには、まずトークン設定を追加し、次にその設定を API に適用する API ルールを作成するという、2 つの手順を順番に完了する必要があります。

トークン設定の追加

1. ESA コンソールにログインします。

2. ESA コンソールでサイト管理 を選択し、サイト 列で対象のサイトをクリックします。

3. 左側のナビゲーションペインで、セキュリティ保護 > API セキュリティ を選択します。

4. API セキュリティ ページで、API ルール タブを選択し、トークン設定 をクリックします。

5. 設定ページで、追加 をクリックしてトークン情報を追加します。

6. ビジネス要件に基づいて、次のトークンパラメーターを指定します。

   • 名前：任意のトークン名 (例：JWT-Demo) を入力します。

   • トークンの位置：リクエスト内でのトークンの場所を選択します。ヘッダー または Cookie フィールドを選択し、対応するキーを入力します。 ビジネス全体で場所が異なる JWT に対応するには、Or をクリックして論理的な OR 条件を作成します。最大 4 つのトークンの場所を同時に評価できます。

   • シークレットキー：手動で入力するか、JSON ファイルをアップロードしてトークンキーを追加します。キーの要件については、「JWK フィールド」をご参照ください。 複数のキーを設定した場合、ESA は kid フィールドに基づいて検証用のキーを選択します。いずれかのキーでトークンの検証に成功すれば、検証は成功と見なされます。

7. OK をクリックします。

API ルールの作成

1. API ルール タブに戻り、ルールの追加 ボタンをクリックします。

2. ビジネス要件に基づいて、トークン検証パラメーターを設定します。

   • ルール名：任意のルール名 (例：rule-jwt-demo) を入力します。

   • API の検証：ドロップダウンリストから、トークンのコンプライアンス検証が必要なホストレコードを選択します。ESA によって、選択されたホストレコードの API リストが表示されます。リストを確認し、検証したい API を選択します。

   • トークン設定の選択：検証するトークンを 1 つ以上選択します。複数のトークンを選択した場合は、次のいずれかのオプションを選択します。

     • [少なくとも1つの設定を検証]：リクエストは、少なくとも 1 つのトークン設定に一致する必要があります。一致しない場合、リクエストは非準拠と見なされます。

     • すべてを検証：リクエストは、すべてのトークン設定に一致する必要があります。一致しない場合、リクエストは非準拠と見なされます。

       デフォルトでは、トークンを含まないリクエストは非準拠として扱われます。特別な要件がある場合は、トークンの右側にある トークンなしの場合 列に移動し、ドロップダウンリストから 無視 を選択します。

   • 実行アクション：トークン検証に失敗したリクエストに適用するアクションを選択します。

     • モニター：非準拠のリクエストを許可し、ログを記録します。詳細は「イベント分析」で確認できます。

     • ブロック：非準拠のリクエストをブロックし、ブロックログを記録します。詳細は「イベント分析」で確認できます。

       

保護結果

API ルールを作成した後、左側のナビゲーションペインで セキュリティ保護 > イベント分析 を選択します。イベント分析ページで、フィルターで保護ルールとして API ルール を選択します。次に、サンプリングログ エリアまでスクロールダウンして、詳細な保護ログを表示します。

JWK フィールド

JWK 公開鍵には、次のフィールドが含まれます。

• kty：キータイプ。たとえば、EC は楕円曲線キーを、RSA は RSA キーを示します。

• use：公開鍵の目的。たとえば、sig はキーがデジタル署名に使用されることを示します。

• crv：楕円曲線のタイプ。たとえば、P-256 は NIST によって定義された P-256 楕円曲線を示します。

• kid：任意のキー識別子 (例：esa)。JWK には、キーを選択するために使用される kid フィールドを含める必要があります。同様に、リクエストの JWT 内のクレームにも kid フィールドを含める必要があります。このフィールドを使用して、トークンキーをローテーションできます。

• n：RSA キーのモジュラス。

• e：RSA キーの公開指数。

• x：楕円曲線公開鍵の x 座標。

• y：楕円曲線公開鍵の y 座標。

• alg：アルゴリズム識別子。現在、ES256 (SHA-256 を使用した ECDSA) と RS256 (SHA-256 を使用した RSA) に対応しています。

{
  "kty": "RSA",
  "use": "sig",
  "kid": "esa",
  "n": "wR8LJDq2pM1uPD5KfmMaasmV20nwgVYnDlsxRjmryLStQeqW-3fe-ELV1tlYHq2-hl8HNNxz5eud8olmqxtrgpihPN9c_pbLY-Jc04_tdpWs10ms1vgoz0S11JEVCK6q9EJ_QCTAxO6GBCdI9t0oUTpBz6QuQCIJAOQdW2k7gZr8CmCn_ianTU1nTxBzAoBxO_r32kl7lx9RTFCZHBJsm8twJ7o0ZXpUjbjhOY2LgdDx3t09YDDOMDYzEOZ86NVzm8qXSekBJFf5-FGNe0Lkht1lsMlBnqlfmWz8q5zUkPZ6XslpgyVqqSaw4DGxXV8aGWRFcOB0Ac2bush6McBAhQ",
  "e": "AQAB",
  "alg": "RS256",
  "crv": "",
  "x": "",
  "y": ""
}

よくある質問

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ