Function Compute:HTTP トリガーの JWT 認証の構成

1. Function Compute コンソールにログインします。左側のナビゲーションウィンドウで、[サービスと機能] をクリックします。

2. トップナビゲーションバーでリージョンを選択し、[サービス] ページで目的のサービスをクリックします。

3. [関数] ページで、目的の関数の名前をクリックします。表示される関数の詳細ページで、[トリガー管理 (URL)] タブをクリックします。

4. [トリガー管理 (URL)] タブで、HTTP トリガーの [操作] 列にある [編集] ボタンをクリックします。

5. 「トリガーの編集」パネルで、次の項目を設定してから、[OK] をクリックします。

   1. [認証方式] を [JWT 認証] に設定します。

      

   2. [JWKS] を設定します。

      HTTP トリガーの JWT 認証を構成するには、有効な JSON Web キーセット (JWKS) を提供します。JWKS を自分で生成するか、JSON Web Key Generator を検索して、mkjwk.org などのオンラインツールを見つけます。PEM 形式のキーをお持ちの場合は、jwx などのツールを使用して JWKS 形式に変換します。

      このトピックでは、mkjwk.org を使用して JWKS を生成する方法を説明します。次の図に示すように、生成インターフェイスで、[キー用途] を [署名] に、[アルゴリズム] を [RS256] に、[X.509 を表示] を [はい] に設定します。次に、[生成] をクリックします。コード内で秘密鍵（図の①）を使用して JWT トークンを発行します。秘密鍵は安全に保管してください。公開鍵（図の②）の内容を、コンソール内の JWKS 構成の keys 配列にコピーします。

      

      

      次の例は、このトピックで構成されている JWKS を示しています。

      {
          "keys": [
              {
                  "alg": "RS256",
                  "e": "AQAB",
                  "kty": "RSA",
                  "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
                  "use": "sig"
              }
          ]
      }

   3. [JWT トークン設定] で、Token の場所および Token の名前を選択します。

      トークン の場所には、ヘッダー、Cookie、クエリパラメーター（GET）、およびフォームパラメーター（POST）がサポートされています。ヘッダーを トークン の場所として選択した場合、パラメーター名 と 削除するプレフィックス を指定します。Function Compute は、トークンを取得する際に 削除するプレフィックス で設定されたプレフィックスの内容を削除します。

      重要

      「削除するプレフィックス」を設定する際は、プレフィックスの後に空白があるかを確認してください。プレフィックス フィールドの後に空白を追加します（例： Bearer ）。

   4. JWT クレーム変換 構成で、パラメーターの場所、元のパラメーター名、および関数に渡した後のパラメーター名を選択します。

      マッピングされたパラメーターの場所は、Header、Cookie、およびフォームパラメーター (POST) をサポートしています。

   5. リクエストマッチングモードを設定します。

      • すべて一致: すべてのHTTPリクエストでJWT検証が必要です。

      • ホワイトリストモード: 「リクエストパスホワイトリスト」に設定されたパスを持つ HTTP リクエストは JWT 検証を必要としません。その他のリクエストは JWT 検証を必要とします。

      • [ブラックリストモード]: 「リクエストパスのブラックリスト」に設定されたパスを持つ HTTP リクエストは JWT 検証を必要とします。その他のリクエストは JWT 検証を必要としません。

      [ホワイトリストモード] および [ブラックリストモード] は、以下の 2 つのマッチングモードをサポートしています。

      • 完全一致

        リクエストパスは、設定されたパスと完全に一致する必要があります。たとえば、[リクエストパスブラックリスト] を /a に設定した場合、/a パスからのリクエストには JWT 検証が必要です。/a/ パスからのリクエストには検証は必要ありません。

      • あいまい一致

        ワイルドカード (*) を使用してパスを設定します。ワイルドカード (*) はパスの末尾でのみ使用できます。たとえば、[リクエストパスブラックリスト] を /login/* に設定した場合、/login/ のパスプレフィックスを持つリクエスト（例：/login/a や /login/b/c/d）は JWT 検証を必要とします。

Postman などのデバッグツールで、HTTP トリガーの JWT 構成に基づいてアクセスエンドポイントとトークンを入力します。HTTP サービスにアクセスできることを確認します。

1. ステップ 1 で生成された X.509 PEM 形式の秘密鍵を、JWT トークンを発行するための秘密鍵として使用します。次の手順は、ローカル Python スクリプトを使用してトークンを生成する方法を示しています。

   1. PyJWT モジュールをインストールします。

      pip install 'PyJWT>=2.0'

   2. 次の Python サンプルスクリプトをローカルで実行して、JWT トークンを生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <Use the X.509 PEM-formatted private key generated in Step 1>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # Token issuance time
          "exp": int(time.time()) + 60 * 60,   # Set token validity to 1 hour
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postman を使用して、HTTP サービスにアクセスできることを確認します。

   1. 対象の関数の [トリガー管理 (URL)] タブで、HTTP トリガーのパブリックネットワークアクセス エンドポイントを取得し、Postman の URL フィールドに入力します。

   2. Postman の [ヘッダー] で Token パラメーター情報を設定し、次に [送信] をクリックしてリクエストを送信します。次の例では、このトピックで入力された Token を示しています。

      名前	例の値	説明
      Key	Authentication	[JWT トークン設定]で設定されたパラメーター名。
      Value	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLQ	「[JWT トークン設定]」では、JWT トークンを構築する際にプレフィックスを削除するようシステムを設定できます。たとえば、削除するプレフィックスとして Bearer を指定したと仮定します。

      重要

      リクエストヘッダー内のJWTパラメーターのプレフィックスと空白は、[プレフィックスの削除] で設定された内容と一致している必要があります。[JWTトークン設定]。それ以外の場合、トリガーはトークンを解析できず、「無効または期限切れのJWT」というエラーを返します。