Server Load Balancer:ALB Extended Edition を使用した JWT インバウンド認証の実装

4.1 JWT キーペアおよびトークンの生成

Python スクリプトを使用して、準拠した公開鍵 JSON ファイルおよびテスト用 JWT を生成します。

1. ECS インスタンスにログインし、必要な Python 依存関係をインストールします。Alibaba Cloud Linux にはデフォルトで Python 3 が含まれています。次のコマンドを実行して jwcrypto ライブラリをインストールします。

   sudo pip3 install --upgrade pip
   sudo pip3 install jwcrypto

2. 生成スクリプト generate_jwt_jwks.py を作成します。

   sudo vim generate_jwt_jwks.py

   次のコードをファイルにコピーします。

   import json
   import time
   import sys
   
   # Check dependencies
   try:
       from jwcrypto import jwk, jwt
   except ImportError:
       print("Error: Library 'jwcrypto' is not installed.")
       print("Please run: pip3 install jwcrypto")
       sys.exit(1)
   
   def main():
       print(">>> Start generating JWKS and JWT...\n")
   
       # --- Configuration ---
       KEY_ID = "aliyun-test-kid"            # Key ID
       ISSUER = "http://your-nginx-server-ip" # Replace with actual Nginx IP or domain, or keep default
       SUBJECT = "test-user-001"             # Test user identifier
       
       # --- 1. Generate RSA key pair (2048-bit) ---
       # Use RS256 algorithm
       key = jwk.JWK.generate(kty='RSA', size=2048, alg='RS256', use='sig', kid=KEY_ID)
       
       # --- 2. Export public key and save as jwks.json ---
       # Nginx reads this file to verify tokens
       public_key = key.export_public(as_dict=True)
       jwks_data = {
           "keys": [public_key]
       }
   
       jwks_filename = "jwks.json"
       with open(jwks_filename, "w") as f:
           json.dump(jwks_data, f, indent=4)
           
       print(f"[Success] JWKS file created: ./{jwks_filename}")
       print(f"       Next step: Move this file to the Nginx directory.")
   
       # --- 3. Generate signed JWT (using private key) ---
       claims = {
           "sub": SUBJECT,
           "iss": ISSUER,
           "name": "Aliyun Doc User",
           "role": "admin",
           "iat": int(time.time()),            
           # Set expiration to 100 years to avoid token expiry during testing
           "exp": int(time.time()) + 3600 * 24 * 365 * 100 
       }
   
       # Create and sign token
       token = jwt.JWT(
           header={"alg": "RS256", "kid": KEY_ID, "typ": "JWT"},
           claims=claims
       )
       token.make_signed_token(key)
       
       print("\n[Success] Test JWT generated (valid for 100 years):")
       print("-" * 60)
       print(token.serialize())
       print("-" * 60)
       print("Action: Use this token for API request testing.")
   
   if __name__ == "__main__":
       main()

3. スクリプトを実行してファイルを生成します。

   sudo python3 generate_jwt_jwks.py

   生成されたトークン文字列を記録します。これはスクリプト出力内の eyJ... で始まる長い文字列です。この文字列は検証ステップで使用します。

4.2 Nginx のインストールおよび構成

ECS インスタンスに Nginx をインストールし、前のステップで生成された jwks.json ファイルを提供するように構成します。

1. Nginx をインストールできます。

   sudo yum install -y nginx
   sudo systemctl start nginx
   sudo systemctl enable nginx

2. 次のコマンドを実行してディレクトリを準備し、公開鍵 JSON ファイルを移動します。

   # Create directory
   sudo mkdir -p /usr/share/nginx/html/auth
   
   # Move jwks.json
   sudo cp jwks.json /usr/share/nginx/html/auth/jwks.json
   
   # Set read permissions
   sudo chmod 644 /usr/share/nginx/html/auth/jwks.json

3. 次のコマンドを実行して、/etc/nginx/default.d/ ディレクトリに jwks.conf 構成ファイルを作成します。

   sudo vim /etc/nginx/default.d/jwks.conf

   次の構成を追加します。

   location /auth/v1 {
       # Disable caching to ensure clients always get the latest public key
       add_header Cache-Control "no-store, no-cache, must-revalidate";
       
       # Set correct response type
       default_type application/json;
       
       # Use alias to point directly to the file
       alias /usr/share/nginx/html/auth/jwks.json;
   }

4. 次のコマンドを実行して Nginx 構成を検証し、構成ファイルを再読み込みします。

   sudo nginx -t
   sudo systemctl reload nginx

5. 次のコマンドを実行して、JWKS サーバーが正しい情報を返すかどうかをテストします。

   curl http://localhost:port/auth/v1

   コマンドは、RSA アルゴリズム (alg: RS256) の公開鍵情報を含む JSON 形式のデータを返します。これにより、JWKS サービスが正常にデプロイされたことが確認されます。

6. ECS インスタンスのプライベート IP アドレスを記録します。この IP アドレスはサービス拡張の構成時に使用します。

有効な JWT トークンを含むリクエスト

リクエストには Authorization: Bearer <token> ヘッダーが含まれており、<token> はステップ 4.1 で生成された JWT です。

# 以下の <Token string> をステップ 4.1 のスクリプト出力から実際のトークンに置き換えてください
token="<Token string>"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "Who are you"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

リクエストが成功すると、システムは HTTP ステータスコード 200 および AI サービスからの応答を返します。

{
    "choices": [
        {
            "finish_reason": "stop",
            "index": 0,
            "message": {
                "content": "I am Qwen, a large-scale language model independently developed by Tongyi Lab under Alibaba Group. I can answer questions, create text, perform logical reasoning, programming, and more. Feel free to ask me anything, and I will do my best to help.",
                "role": "assistant"
            }
        }
    ],
    "created": 1767613123,
    "id": "chatcmpl-01fb9300-df1d-98d1-9f5d-874fddebf13f",
    "model": "qwen-turbo",
    "object": "chat.completion",
    "usage": {
        "completion_tokens": 47,
        "prompt_tokens": 14,
        "prompt_tokens_details": {
            "cached_tokens": 0
        },
        "total_tokens": 61
    }
}

無効な JWT トークンを含むリクエストまたは JWT トークンを含まないリクエスト

token="wrong-jwt-token"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "Who are you"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions", error="invalid_token"
content-length: 79
content-type: text/plain
vary: Accept-Encoding
date: Wed, 21 Jan 2026 06:57:46 GMT

Jwt verification fails

curl -v \
    -H "k: v" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "Who are you"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions"
content-length: 14
content-type: text/plain
date: Wed, 21 Jan 2026 07:00:10 GMT

Jwt is missing

JWT 認証が失敗し、 Jwks remote fetch is failed というエラーが表示される

このエラーは、ALB インスタンスが検証のためにリモート JWKS サーバーから公開鍵を取得できないことを示しています。以下の手順を実行して問題をトラブルシューティングできます。

• サービス拡張のリモートサービス URL が正しく、ECS インスタンスのプライベート IP アドレスを使用していることを確認します。

• ALB インスタンスと ECS インスタンスが同じ VPC にあり、相互に通信できることを確認します。

• ECS インスタンスのセキュリティグループルールおよびシステムファイアウォールが、VSW1 および VSW2 の CIDR ブロックからの Nginx サービスポートへのアクセスを許可していることを確認します。

• JWKS サーバーが期待通りに実行されていることを確認します。ECS インスタンス上で curl コマンドを実行してローカルテストを実施できます。

JWT 認証が構成されているが、トークンを含まないリクエストが依然として成功する

• 転送条件が実際のリクエストとマッチしており、認証済みリクエストが確実にルールにマッチするように十分な優先度を持っていることを確認します。

• サービス拡張に JWT 認証コンポーネントが含まれており、転送ルールに正しく関連付けられていることを確認します。