Identity as a Service:フェデレーション資格情報式の使用

1. Client (クライアントモデル)

IDaaS 式では、client.fieldname フォーマットを使用して Client データモデルのプロパティにアクセスできます。次の表に、Client データモデルがサポートするフィールドとその説明を示します。

2. PKCS#7 Federated Credential (PKCS#7 フェデレーション資格情報モデル)

IDaaS PKCS#7 フェデレーション資格情報モデルでは、pkcs7.fieldname フォーマットを使用して次のフィールドにアクセスできます。このデータモデルは、PKCS#7 フェデレーション信頼ソースの信頼に関する条件式と、PKCS#7 フェデレーション資格情報の検証に適用されます。

3. PCA Federated Credential (PCA フェデレーション資格情報モデル)

IDaaS PCA フェデレーション資格情報モデルでは、cert オブジェクトを介して次のフィールドにアクセスできます。たとえば、証明書発行者の Common Name (CN) フィールドを取得するには、`cert.issuer.subject.CN` という式を使用できます。このデータモデルは、PCA フェデレーション信頼ソースの信頼に関する条件式と、PCA フェデレーション資格情報の検証に適用されます。

4. OIDC Federated Credential (OIDC フェデレーション資格情報モデル)

IDaaS OIDC フェデレーション資格情報モデルでは、jwt.fieldname フォーマットを使用して次のフィールドにアクセスできます。このデータモデルは、OIDC フェデレーション信頼ソースの信頼に関する条件式と、OIDC フェデレーション資格情報の検証に適用されます。次の表に、OIDC フェデレーション資格情報モデルの主要なフィールドとその説明を示します。

{
  "aud": [
    "https://example.com",
    "https://example2.com"
  ]
}

5. CertificateObject モデル

CertificateObject モデルは、証明書関連の検証シナリオを処理し、証明書のさまざまなフィールドへのアクセスを提供します。cert.fieldname フォーマットを使用して、次のフィールドにアクセスできます。このデータモデルは、証明書チェーンの検証、証明書プロパティの検証、証明書の有効期間のチェックなどのシナリオに適用されます。

CertificateSubjectObject モデルのフィールドは次のとおりです。

式の例

上記のデータモデルのいずれかを式で使用するには、JSON セマンティクスに基づいて値を取得する必要があります。JSON キーにピリオド (.)、ハイフン (-)、アンダースコア (_) などの特殊文字が含まれている場合は、キーを単一引用符で囲む必要があります。

フェデレーション信頼ソースの信頼条件

1. PCA

   // アップロードされた PCA 証明書から発行者の CN フィールドを取得して比較します。
   // たとえば、証明書の発行者は C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test です。
   Equals(cert.issuer.CN, "test")
   
   // 証明書が他の証明書を発行するために使用できる CA 証明書であるかどうかを判断します。
   Equals(cert.ca, true)
   

2. OIDC

   // Kubernetes クラスターのサービスアカウント OIDC トークンのサブジェクトが正しいかどうかを判断します。
   Equals(jwt.sub, "test")
   
   // 発行者とオーディエンスが同時に正しいかどうかを判断します。
   And(Equals(jwt.iss, "https://example.com"), Equals(jwt.aud, "test_aud"))

3. PKCS#7

   PKCS#7 フェデレーション信頼ソースを選択した場合、信頼の条件式を入力する必要はありません。

フェデレーション資格情報の検証条件

フェデレーション資格情報検証の条件式を記述する方法は、フェデレーション信頼ソースの信頼の条件式を記述する方法と似ています。データモデルから対応するフィールドを取得して検証できます。IDaaS は、構成プロセスを簡素化するために基本的な検証式を自動的に生成するクイック構成モードを提供します。

1. PCA

   // 検証条件モードが [証明書モード] で、共通名 (CN) が example の場合、生成される式は次のようになります:
   Equals(cert.subject.CN, "example")
   
   // 他の条件を検証する式をカスタマイズするには、[クライアント証明書フィールド式検証モード] を選択します。
   // たとえば、クライアント証明書の発行者の国、場所、および州を検証する場合。
   // たとえば、証明書の発行者は C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test です。
   And(Equals(cert.issuer.C, "cn"), Equals(cert.issuer.L, "chengdu"), Equals(cert.issuer.ST, "sichuan"))
   
   // 証明書のシリアル番号を決定します。注: シリアル番号は 16 進数フォーマットで、小文字であり、コロンは含まれません。関数を使用して変換できます。
   // たとえば、証明書のシリアル番号が 6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e の場合、StringReplace() 関数を使用してコロンを削除します。式は次のようになります:
   // StringReplace("元の文字列","置き換えられる文字","置き換え文字")
   Equals(cert.serialNumber, StringReplace("6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e",":",""))
   
   // シリアル番号が大文字の場合 (例: 6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E)
   // ToLower() 関数を使用して文字列を小文字に変換し、次に StringReplace() 関数を使用してコロンを削除します。
   Equals(cert.serialNumber, StringReplace(ToLower("6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E"),":",""))

2. OIDC

   // [Kubernetes モード] が使用され、名前空間が test で、サービスアカウントが test の場合。
   // 自動的に生成される式は次のようになります:
   And(Equals(jwt.claims.'kubernetes.io'.namespace, "test"), Equals(jwt.claims.'kubernetes.io'.serviceaccount.name, "test"), Equals(jwt.sub, "system:serviceaccount:test:test"))
   
   // [サブジェクト ID モード] が使用され、サブジェクト ID が https://sub.example.com の場合。
   // 自動的に生成される式は次のようになります:
   Equals(jwt.sub, "https://sub.example.com")
   
   // 他の条件を検証する式をカスタマイズするには、[クレームフィールド式検証モード] を選択します。
   // たとえば、現在の OIDC トークンの jti フィールドを検証する場合、式は次のようになります:
   Equals(jwt.jti, "test_XXX")
   
   // ユーザーが OIDC トークンのクレームに customValue という名前のカスタムフィールドを定義し、このフィールドを検証したい場合、式は次のようになります:
   Equals(jwt.claims.customValue, "XXX")
   
   // aud が正しいかどうかを判断するには、aud が配列フォーマットであるため、配列インデックスを使用して対応する aud 値を取得して比較する必要があります。
   // フェデレーション資格情報の検証条件で検証するのではなく、OIDC フェデレーション信頼ソースの aud フィールドを検証することをお勧めします。
   // aud に値が 1 つしかない場合、式は次のようになります:
   Equals(jwt.aud[0], "example_aud")
   // aud に複数の値がある場合、Or() 関数を使用して比較できます。これは、少なくとも 1 つの aud 値が一致すれば検証に合格することを示します。式は次のようになります:
   Or(Equals(jwt.aud[0], "https://example.com"), Equals(jwt.aud[1], "https://example2.com"))

3. PKCS#7

   // 現在のフェデレーション信頼ソースが Alibaba Cloud PKCS#7 で、検証条件モードが [ECS インスタンス指定モード] であり、ECS インスタンス ID が i-123 および i-456 の場合、生成される式は次のようになります:
   Or(Equals(pkcs7.payload.jsonData.'instance-id', "i-123"),Equals(pkcs7.payload.jsonData.'instance-id', "i-456"))
   
   // フェデレーション信頼ソースが AWS PKCS#7 で、検証条件モードが [ECS インスタンス指定モード] であり、ECS インスタンス ID が i-123 および i-456 の場合、生成される式は次のようになります:
   Or(Equals(pkcs7.payload.jsonData.instanceId, "i-123"),Equals(pkcs7.payload.jsonData.instanceId, "i-456"))
   
   // 他の条件を検証する式をカスタマイズするには、[署名値式検証モード] を選択します。
   // たとえば、Alibaba Cloud PKCS#7 の署名値の region-id フィールドを検証する場合、式は次のようになります:
   Equals(pkcs7.payload.jsonData.'region-id', "cn-hangzhou")

Alibaba Cloud PKCS#7 で利用可能なフィールド

Amazon Web Services PKCS7 で利用可能なフィールド