Function Compute:HTTP トリガーの JWT 認証の設定

前提条件

関数と HTTP トリガーを作成します。詳細については、「関数の作成」および「トリガーの作成」をご参照ください。

制限事項

• 任意の方法で JWT を生成および配布できます。Function Compute は、トリガーに設定された公開 JWKS を使用して JWT を認証します。

• Function Compute は、kid (キー ID) を持たない JSON Web Key (JWK) をサポートしています。

• トリガーは、リクエストの header (ヘッダー)、Query (クエリ) パラメーター (GET リクエストの場合)、フォームパラメーター (POST リクエストの場合)、または cookie からトークンを読み取ることができます。

• claims (クレーム) を header (ヘッダー)、フォームパラメーター (POST リクエストの場合)、または cookie として関数に転送できます。

• Function Compute では、HTTP トリガーに JWKS を設定できます。システムは JWKS 内で、token 内の kid と一致する公開 JWK を検索します。その後、この公開鍵を使用して token の署名を検証します。トリガーの JWKS には、kid が欠落しているか空文字列である JWK を最大 1 つまで含めることができます。

  Function Compute の JWT は、以下のアルゴリズムをサポートしています。

  署名アルゴリズム	Alg の値
  RSASSA-PKCS1-V1_5	RS256, RS384, RS512
  RSASSA-PSS	PS256, PS384, PS512
  Elliptic Curve (ECDSA)	ES256, ES384, ES512
  HMAC	HS256, HS384, HS512
  EdDSA	EdDSA

  重要

  • HMAC 署名アルゴリズムは対称暗号化を使用しており、セキュリティが低いです。より安全な非対称暗号化アルゴリズムを使用することを推奨します。

  • 非対称暗号化アルゴリズムを使用する場合、セキュリティのため、JWT には公開鍵情報のみを含めるべきです。秘密鍵情報を含めないことを推奨します。

  • トークンの漏洩を防ぐため、リクエスト内の token などの機密情報を保護するために HTTPS を使用することを推奨します。

操作手順

ステップ 1: JWT 認証の設定

ステップ 2: 設定の確認

Postman などのテストツールを使用して、エンドポイント、トークン、その他の情報を提供し、HTTP トリガーの JWT 設定に基づいて HTTP サービスに期待どおりにアクセスできることを確認します。

1. ステップ 1 で生成した X.509 PEM 形式の秘密鍵を使用して JWT トークンを発行します。以下の手順は、ローカルの Python スクリプトを使用してトークンを生成する方法を示しています。

   1. PyJWT モジュールをインストールします。

      pip install 'PyJWT>=2.0'

   2. 以下のサンプル Python スクリプトをローカルで実行して JWT トークンを生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <ステップ 1 で生成された X.509 PEM 形式の秘密鍵>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "田中太郎",
          "iat": int(time.time()),   # トークンが発行された時刻。
          "exp": int(time.time()) + 60 * 60,   # トークンの有効期間を 1 時間に設定します。
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postman を使用して HTTP サービスにアクセスできることを確認します。

   1. 関数の詳細ページの トリガー タブで、HTTP トリガーのパブリックエンドポイントを取得し、Postman の URL フィールドに入力します。

   2. Postman で、ヘッダーにトークンパラメーターを設定し、[送信] をクリックします。以下の表に、トークン設定の例を示します。

      パラメーター	値	説明
      キー	Authentication	JWT トークンの設定 セクションで指定したパラメーター名。
      値	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	JWT トークンの設定 セクションで指定した [プレフィックスの削除] パラメーターの値と JWT トークンを連結したもの。この例の値は、[プレフィックスの削除] が Bearer に設定されていることを前提としています。

      重要

      リクエストヘッダー内の JWT パラメーターのプレフィックスとスペースは、JWT トークンの設定 セクションで指定した プレフィックスの削除 の値と完全に一致する必要があります。一致しない場合、トリガーはトークンを解析できず、invalid or expired jwt エラーを返します。

よくある質問