Microservices Engine:jwt-logout

仕組み

このプラグインは、失効したトークンとアクティブセッションを追跡するために、JWT メタデータを Redis に保存します。

プラグインタイプ

認証

構成リファレンス

プラグイン構成には、主に 3 つのブロックがあります。

redis:       # 必須。Redis 接続設定。
logout:      # オプション。トークン失効設定。
login:       # オプション。シングルデバイスログイン設定。

<key_prefix><PayloadKey1>#<PayloadKey2>##<PayloadValue1>#<PayloadValue2>

ApsaraDB for Redis インスタンスへの接続

このプラグインの Redis 接続を設定するには:

1. ApsaraDB for Redis インスタンスを作成します。詳細については、「概要」をご参照ください。

2. インスタンスの VPC エンドポイント (例: r-xxxxxxx.redis.rds.aliyuncs.com) を取得します。

3. MSE コンソールでサービスを追加します。[サービスソース] ドロップダウンリストから [DNS ドメイン名] を選択し、[サービスポート] フィールドに Redis ポート (ほとんどの場合 6379) を入力し、[ドメイン] フィールドに VPC エンドポイントを入力し、[TLS モード] を [無効] に設定します。詳細については、「サービスを追加」をご参照ください。

4. Redis 接続ブロックをプラグイン構成に追加します。Redis インスタンスに認証が必要な場合は、パスワードを含めます。

      redis:
        service: redis.dns
        port: 6379

      redis:
        service: redis.dns
        port: 6379
        password: <your-redis-password>   # 実際のパスワードに置き換えてください。

キャパシティプランニング: 各リクエストは、ログアウトチェックのために 1 回の Redis 読み取りをトリガーし、ログインチェックのために 2 回の読み取りをトリガーします。ログアウトおよび初回ログインリクエストは、2 回の追加書き込みを生成します。Redis キャパシティを推定するには、ゲートウェイリクエストスループットを 2 倍にしてください。

例: ログアウト時の JWT 失効

特定の JWT を無効化し、認証に使用できないようにします。

プラグイン構成:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

ステップ 1: ログアウトのトリガー。

curl http://xxx.hello.com/test/jwt_logout \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'

# 応答:
{"message": "logout success"}

JWT ペイロードには次のクレームが含まれます。

{
  "jti": "xxxx",
  "iss": "abcd",
  "sub": "test",
  "aud": "www.test.com",
  "iat": 1665660527,
  "exp": 1865673819
}

key が ["jti"] に設定されている場合、ゲートウェイは Redis キー higress_jwt_logout_jti##xxxx を書き込みます。

ステップ 2: 失効したトークンが拒否されることの確認。

curl http://xxx.hello.com/test/abc \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'

# 応答:
{"message":"invalid token"}

ゲートウェイは Redis 内でキー higress_jwt_logout_jti##xxxx を見つけ、リクエストを拒否します。

例: シングルデバイスログインの強制

アカウントを 1 つのアクティブセッションに制限し、セッションを新しいデバイスに強制的に切り替えます。

プラグイン構成:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

ステップ 1: 初回ログイン (自動登録)。

curl http://xxx.hello.com/test/abc \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

JWT ペイロード:

{
  "jti": "zzzz",
  "iss": "abcd",
  "aud": "www.example.com",
  "sub": "test",
  "iat": 1665660527,
  "exp": 1865673819
}

Redis に一致するキーが存在しないため、ゲートウェイは higress_jwt_login_iss#aud#sub##abcd#www.example.com#test を書き込み、リクエストを許可します。この JWT がアクティブセッションになります。

ステップ 2: 別のデバイスからのログイン試行。

同じ iss、aud、および sub の値を持つが、jti の値が異なる別の JWT（「yyyyy」ではなく「zzzz」）：

curl http://xxx.hello.com/test/abc \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

# 応答:
{"message":"already login on other device"}

ID フィールド（iss、aud、sub）は既存の Redis キーと一致しますが、JWT 全体が異なります。ゲートウェイはリクエストを拒否します。

ステップ 3: 新しいデバイスからの強制ログイン。

ログインパスサフィックスにリクエストを送信して、アクティブセッションを上書きします。

curl http://xxx.hello.com/test/jwt_login \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

# 応答:
{"message":"login success"}

ゲートウェイは Redis の値を新しい JWT で上書きします。この後:

• 新しい JWT を使用したリクエストは成功します。

• 古い JWT (ステップ 1 からのもの) を使用したリクエストは、{"message":"already login on other device"} で拒否されます。

使用上の注意

• デフォルトのログアウトキー ["jti"] は、RFC 7519 に従って各トークンを一意に識別する jti (JWT ID) クレームに依存します。2 つのトークンが同じ jti を共有する場合、それらは同一として扱われます。

• デフォルトのログインキー ["iss","aud","sub"] は、発行者、オーディエンス、およびサブジェクトを組み合わせたものであり、通常、一意のユーザーとアプリケーションのペアを表し、シングルデバイス強制に適しています。

• ログアウトをトリガーすると、同じ JWT に関連付けられたログインキーもクリアされます。これは、トークン失効、シングルデバイスログイン、またはその両方が有効になっているかどうかに関わらず適用されます。

HTTP ステータスコード