Function Compute:HTTP トリガーの JWT 認証の設定

始める前に

関数と、その関数の HTTP トリガーを作成します。 詳細については、「関数の作成」および「ステップ 1: トリガーの作成」をご参照ください。

制限事項

• ビジネス要件に基づいて JWT を生成および配布できます。 Function Compute は、トリガーに設定されている公開 JWKS を使用して JWT を認証します。

• kid（キー ID）のない JSON Web Key（JWK）がサポートされています。

• トークンは、header、query パラメーター（GET メソッドを使用）、フォーム パラメーター（POST メソッドを使用）、または cookie から読み取ることができます。

• claims を headers、query パラメーター（GET メソッドを使用）、フォーム パラメーター（POST メソッドを使用）、および cookies として関数に転送できます。

• HTTP トリガーの JWKS を設定できます。 JWKS が設定されると、システムは JWKS 内で、kid が token の kid と同じ公開 JWK を検索し、その公開 JWK を使用して token の署名を検証します。 トリガーの JWKS には、kid が存在しないか空の文字列に設定されている JWK を最大 1 つ含めることができます。

  次の表に、Function Compute の JWT でサポートされているアルゴリズムを示します。

  署名アルゴリズム	alg 値
  RSASSA-PKCS1-V1_5	RS256、RS384、または RS512
  RSASSA-PSS	PS256、PS384、または PS512
  楕円曲線（ECDSA）	ES256、ES384、または ES512
  HMAC	HS256、HS384、または HS512
  EdDSA	EdDSA

  重要

  • ハッシュベースのメッセージ認証コード（HMAC）署名アルゴリズムは、セキュリティが弱い対称暗号化を使用します。 セキュリティを強化するために、非対称暗号化アルゴリズムを使用することをお勧めします。

  • 非対称暗号化アルゴリズムを使用する場合は、セキュリティ上の理由から、JWT に秘密鍵ではなく公開鍵に関する情報のみを含める必要があります。

  • トークンの漏洩を防ぐために、HTTPS を使用して、リクエスト内の tokens などの機密情報を保護することをお勧めします。

手順

ステップ 1: JWT 認証の設定

ステップ 2: JWT 構成の検証

このセクションでは、HTTP トリガーの JWT 構成に基づいて、HTTP サービスに想定どおりにアクセスできるかどうかをツールを使用して検証する方法について説明します。 このセクションでは、Postman を使用します。

1. ステップ 1 で生成された X.509 PEM 形式の秘密鍵を秘密鍵として使用して、JWT を発行します。 次の手順では、Python を例として使用して、ローカル スクリプトを使用してトークンを生成するプロセスを示します。

   1. PyJWT モジュールをインストールします。

      pip install PyJWT

   2. オンプレミスのマシンで次の Python スクリプトを実行して、JWT を生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <ステップ 1 で生成された X.509 PEM 形式の秘密鍵を使用します。>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256", // 署名アルゴリズム
          "typ": "JWT"  // トークンタイプ
      }
      
      payload = {
          "sub": "1234567890", // サブジェクト
          "name": "John Snow", // 名前
          "iat": int(time.time()),   # トークンが発行された時刻。
          "exp": int(time.time()) + 60 * 60,   # トークンの有効期間を 1 時間に設定します。
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded) // 生成されたトークン
      

2. Postman を使用して、HTTP サービスに想定どおりにアクセスできるかどうかを検証します。

   1. [構成] > [トリガー] ページからインターネット URL を取得し、Postman に入力します。

   2. Postman の ヘッダー タブでトークン パラメーターを設定します。 次に、[送信] をクリックします。 次の表に、トークンの構成を示します。

      名前	値	説明
      キー	Authentication	[JWT トークンの構成] セクションで指定したトークンの名前。
      値	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	JWT 値。 [JWT トークンの構成] の プレフィックスの削除 パラメーターの値が含まれています。 この例では、プレフィックスの削除 パラメーターは Bearer に設定されています。

      重要

      リクエストヘッダーの JWT パラメーターのプレフィックスとスペースは、[JWT トークンの構成] セクションの [プレフィックスの削除] パラメーターのプレフィックスとスペースと同じである必要があります。 それ以外の場合、トリガーがトークンを解析するときにエラーが発生し、「無効または期限切れの jwt」エラーが報告されます。

よくある質問