Function Compute:HTTP トリガーの JWT 認証の設定

前提条件

関数と HTTP トリガーが作成されていること。詳細については、「関数の作成」および「トリガーの作成」をご参照ください。

制限事項

• JWT は任意の方法で生成および配布できます。Function Compute は、トリガーに設定された公開 JWKS を使用して JWT を認証します。

• Function Compute は、キー ID (kid) のない JWK をサポートしています。

• トリガーは、header、Query パラメーター (GET)、フォームパラメーター (POST)、または cookie からトークンを読み取ることができます。

• claims を header、フォームパラメーター (POST)、または cookie として関数に転送できます。

• Function Compute では、HTTP トリガーに JWKS を設定できます。システムは JWKS を検索し、token 内の kid と一致するキー ID (kid) を持つ公開 JWK を探します。その後、トリガーはこのキーを使用してトークンの署名を検証します。トリガーの JWKS には、kid がない、または `kid` が空文字列である JWK を最大 1 つ含めることができます。

  Function Compute の JWT は、次のアルゴリズムをサポートしています。

  署名アルゴリズム	Alg 値
  RSASSA-PKCS1-V1_5	RS256, RS384, RS512
  RSASSA-PSS	PS256, PS384, PS512
  楕円曲線 (ECDSA)	ES256, ES384, ES512
  HMAC	HS256, HS384, HS512
  EdDSA	EdDSA

  重要

  • HMAC 署名アルゴリズムは対称暗号化を使用しており、セキュリティが低いです。より安全な非対称暗号化アルゴリズムの使用を推奨します。

  • 非対称暗号化アルゴリズムを使用する場合、セキュリティのため、JWKS には公開鍵情報のみが含まれていることを確認してください。秘密鍵の詳細は含めないでください。

  • token などのリクエスト内の機密情報を保護するために、HTTPS の使用を推奨します。

操作手順

ステップ 1: JWT 認証の設定

ステップ 2: 設定の確認

Postman などのテストツールを使用して、HTTP サービスにアクセスできることを確認します。HTTP トリガーの JWT 設定に基づいて、アクセスアドレス、トークン、その他の情報を設定します。

1. 「ステップ 1: JWT 認証の設定」で生成した X.509 PEM 形式の秘密鍵を使用して、JWT トークンを発行します。次の手順では、Python を例に、ローカルスクリプトを使用してトークンを生成する方法を説明します。

   1. PyJWT モジュールをインストールします。

      pip install 'PyJWT>=2.0'

   2. 次の Python スクリプトをローカルで実行して、JWT トークンを生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <ステップ 1 で生成した X.509 PEM 形式の秘密鍵>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # トークンが発行された時刻。
          "exp": int(time.time()) + 60 * 60,   # トークンの有効期限を 1 時間に設定します。
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postman を使用して、HTTP サービスへのアクセスを確認します。

   1. 関数詳細ページの トリガー タブで、HTTP トリガーのパブリックアクセスアドレスを取得し、Postman の URL フィールドに貼り付けます。

   2. Postman の [Headers] タブで、トークンパラメーターを設定し、[Send] をクリックします。次の例は、トークン設定を示しています。

      パラメーター	値	説明
      Key	Authentication	[JWT トークン設定] で設定したパラメーター名。
      Value	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	[JWT トークン設定] で指定されたプレフィックスと、それに続く JWT トークン。この例の値は、プレフィックスが Bearer に設定されていることを前提としています。

      重要

      リクエストヘッダーのトークン値は、[JWT トークン設定] セクションの [プレフィックスの削除] で設定したプレフィックスとスペースで正確に始まっている必要があります。そうでない場合、トリガーはトークンを解析できず、`invalid or expired jwt` エラーを返します。

よくある質問