Function Compute:HTTP トリガーの JWT 認証を設定する

1. Function Compute コンソール にログオンします。左側のナビゲーションウィンドウで、[サービスと関数] をクリックします。

2. 上部のナビゲーションバーで、リージョンを選択します。[サービス] ページで、目的のサービスをクリックします。

3. [関数] ページで、目的の関数の名前をクリックします。表示される [関数の詳細] ページで、[トリガー管理 (URL)] タブをクリックします。

4. [トリガー管理 (URL)] タブで、HTTP トリガーの [アクション] 列の [変更] をクリックします。

5. [トリガーの変更] パネルで、次のパラメーターを構成し、[OK] をクリックします。

   1. [認証方式] を [JWT 認証] に設定します。

      

   2. [JWKS] を構成します。

      HTTP トリガーの JWT 認証を構成するには、有効な JWKS を提供する必要があります。 JWKS は手動で生成することも、Web ブラウザーで JSON Web Key generator を検索して mkjwk.org などのオンラインジェネレーターを使用することもできます。 Privacy Enhanced Mail (PEM) 形式のキーがある場合は、jwx などのツールを使用して、キーを JWKS 形式に変換できます。

      この例では、mkjwk.org を使用して JWKS を生成します。 JWKS を生成するページで、[X.509 を表示] を [はい] に設定して秘密鍵を表示します。秘密鍵を使用して JWT を発行する必要があります。秘密鍵は安全に保管してください。公開鍵の内容を Function Compute コンソールの JWKS の keys 配列にコピーできます。次の図は詳細を示しています。

      

      サンプルコード：

      {
          "keys": [
              {
                  "alg": "RS256",
                  "e": "AQAB",
                  "kty": "RSA",
                  "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
                  "use": "sig"
              }
          ]
      }

   3. [JWT トークン構成] セクションで、token の位置と名前を選択します。

      token の [読み取り位置] パラメーターを [ヘッダー]、[Cookie]、[クエリパラメーター]、または [フォームパラメーター] に設定できます。 token の [読み取り位置] パラメーターを [ヘッダー] に設定する場合は、[パラメーター名] と [プレフィックスの削除] パラメーターを指定する必要があります。 Function Compute がトークンを取得すると、[プレフィックスの削除] パラメーターで指定されたプレフィックスが削除されます。

      重要

      [プレフィックスの削除] パラメーターを構成する場合は、プレフィックスの後にスペースが存在するかどうかを確認します。 Bearer など、指定したプレフィックスの後にスペースを追加することをお勧めします。

   4. [JWT クレーム変換] セクションで、関数にパラメーターを渡す位置、パラメーターの元の名前、およびパラメーターが関数に渡された後のパラメーターの新しい名前を選択します。

      [マッピングパラメーター位置] パラメーターを [ヘッダー]、[Cookie]、[クエリパラメーター]、または [フォームパラメーター] に設定できます。

   5. リクエストマッチングモードを指定します。

      • [すべて一致]: すべての HTTP リクエストは JWT を使用して検証する必要があります。

      • [ホワイトリストモード]: [リクエストパスのホワイトリスト] で指定されたパスから送信された HTTP リクエストは、JWT を使用して認証されません。他のリクエストは JWT を使用して認証されます。

      • [ブラックリストモード]: [リクエストパスのブラックリスト] で指定されたパスから送信された HTTP リクエストは、JWT を使用して認証されます。他のリクエストは JWT を使用して認証されません。

      [ホワイトリストモード] と [ブラックリストモード] は、次のマッチングモードをサポートしています。

      • 完全一致

        パスは、指定されたパスと完全に同じ場合にのみ一致します。たとえば、[リクエストパスのブラックリスト] を /a に設定した場合、/a から送信されたリクエストには JWT 認証が必要です。 /a/ から送信されたリクエストには JWT 認証は必要ありません。

      • あいまい一致

        値をアスタリスク (*) がワイルドカードとして追加されたパスに設定できます。たとえば、[リクエストパスのブラックリスト] パラメーターを /login/* に設定した場合、/login/ で始まるパス ( /login/a や /login/b/c/d など) から送信されたリクエストには JWT 認証が必要です。

このセクションでは、HTTP トリガーの JWT 構成に基づいて、ツールを使用して HTTP サービスに期待どおりにアクセスできるかどうかを検証する方法について説明します。このセクションでは、Postman を使用します。

1. ステップ 1 で生成された X.509 PEM 形式の秘密鍵を秘密鍵として使用して、JWT を発行します。次の手順では、Python を例として使用して、ローカルスクリプトを使用してトークンを生成するプロセスを示します。

   1. PyJWT モジュールをインストールします。

      pip install PyJWT

   2. オンプレミス マシンで次の Python スクリプトを実行して、JWT を生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <ステップ 1 で生成された X.509 PEM 形式の秘密鍵を使用します>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # トークンが発行された時刻。
          "exp": int(time.time()) + 60 * 60,   # トークンの有効期間を 1 時間に設定します。
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postman を使用して、HTTP サービスにアクセスできるかどうかを確認します。

   1. 管理する関数の [トリガー管理 (URL)] タブで、HTTP トリガーのインターネットエンドポイントを取得します。次に、Postman のアドレスバーにエンドポイントを入力します。

   2. Postman の [ヘッダー] タブでトークンパラメーターを構成し、[送信] をクリックしてリクエストを送信します。次の表は、トークンの構成について説明しています。

      名前	例	説明
      キー	Authentication	[JWT トークン構成] セクションで指定したトークンの名前。
      値	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	JWT 値。 [JWT トークン構成] の [プレフィックスの削除] パラメーターの値が含まれています。この例では、[プレフィックスの削除] パラメーターは Bearer に設定されています。

      重要

      リクエストヘッダーの JWT パラメーターのプレフィックスとスペースは、[JWT トークン構成] セクションの [プレフィックスの削除] パラメーターのプレフィックスとスペースと同じである必要があります。そうでない場合、トリガーがトークンを解析するときにエラーが発生し、「無効または期限切れの jwt」エラーが報告されます。