API Gateway:Plugin jwt-auth

Configuração de autenticação

A tabela a seguir descreve os campos de cada item em consumers.

• A tabela abaixo detalha os campos de cada item em from_headers.

  Nome	Tipo de dado	Obrigatório	Valor padrão	Descrição
  name	string	Obrigatório	-	Cabeçalho de requisição de onde o JWT é extraído.
  value_prefix	string	Obrigatório	-	Prefixo a ser removido do valor do cabeçalho. A parte restante é tratada como o JWT.

• Veja a seguir os campos disponíveis para cada elemento de claims_to_headers.

  Nome	Tipo de dado	Obrigatório	Valor padrão	Descrição
  claim	string	Obrigatório	-	Campo específico no payload do JWT. O valor deve ser uma string ou um inteiro sem sinal.
  header	string	Obrigatório	-	Cabeçalho de requisição a ser preenchido com o valor da claim extraída e encaminhado ao backend.
  override	bool	Opcional	true	Se true, substitui o cabeçalho de requisição caso já exista um com o mesmo nome. Se false, adiciona o valor como um cabeçalho de requisição duplicado.

• Confira na tabela seguinte os atributos de cada entrada em remote_jwks.

  Nome	Tipo de dado	Obrigatório	Valor padrão	Descrição
  uri	string	Obrigatório	-	URL da requisição.
  service	string	Obrigatório	-	Exemplo para serviço Kubernetes: foo.default.svc.cluster.local. Exemplo para serviço Nacos: foo.DEFAULT-GROUP.public.nacos. Para um serviço DNS chamado test, insira test.dns. Para um serviço de IP estático chamado test, insira test.static.
  port	bool	Obrigatório	-	Porta do serviço.
  timeout	bool	Opcional	3000	Tempo limite da requisição ao serviço, em milissegundos.
  ttl	bool	Opcional	30000	Duração do cache, em milissegundos.

Configuração de autorização (opcional)

Configurar autenticação global e autorização no nível da rota

Este exemplo ativa a autenticação JWT global no nível da instância e restringe o acesso no nível da rota a consumidores específicos.

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

allow:
- consumer1

allow:
- consumer2

Ativar no nível da instância do gateway, mas desativar para uma rota específica

Configure o plugin no nível da instância conforme mostrado abaixo:

global_auth: true
consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

Para a rota route-b, configure o plugin assim:

_disable_: true

Neste cenário, route-b representa o nome da rota definido na criação da rota do gateway. Como _disable_ está definido como true, o plugin é desativado sempre que uma requisição corresponder a essa rota. Nenhuma autenticação JWT ocorre e todos os usuários obtêm acesso liberado.

Requisições que não corresponderem à rota route-b passarão pela autenticação JWT, pois global_auth está definido como true no nível da instância. Tanto consumer1 quanto consumer2 terão acesso permitido.

Ativar no nível do nome de domínio, mas desativar para uma rota específica

Configure o plugin no nível da instância da seguinte forma:

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

Na rota route-b, aplique a seguinte configuração ao plugin:

_disable_: true

Quanto ao nome de domínio *.example.com, configure o plugin assim:

allow:
- consumer1
- consumer2

Neste caso, route-b é o nome atribuído à rota durante sua criação no gateway. Visto que _disable_ foi ajustado para true, qualquer requisição que atinja essa rota encontrará o plugin desabilitado. Consequentemente, não há verificação JWT e o acesso fica livre para todos os usuários.

O padrão *.example.com serve para casar com o domínio da requisição. Quando houver correspondência, o acesso será concedido aos chamadores consumer1 ou consumer2. Demais chamadores serão recusados.

A avaliação das regras segue uma ordem sequencial: a primeira correspondência prevalece e interrompe a análise das regras subsequentes. Regras de rota possuem prioridade sobre regras de nome de domínio, possibilitando habilitar o plugin para um domínio inteiro e, simultaneamente, desabilitá-lo para uma rota específica dentro desse domínio.