API Gateway:Autenticação por token baseada em JWT

Visão geral

Muitas APIs públicas precisam identificar os chamadores para determinar se concedem acesso aos recursos solicitados. O token é um mecanismo de autenticação. Com a autenticação baseada em token, a aplicação não precisa armazenar informações de autenticação ou sessão do usuário no servidor. Isso viabiliza a autorização de aplicações web distribuídas e sem estado, além de simplificar o dimensionamento da aplicação.

Fluxo de trabalho

O API Gateway usa o plug-in de autenticação JWT para gerenciar a autenticação. O fluxo de trabalho é o seguinte:

1. Um cliente envia uma solicitação com token ao API Gateway.

2. O API Gateway usa a chave pública configurada no plug-in de autenticação JWT para verificar o token. Se o token for válido, o API Gateway encaminha a solicitação ao serviço de backend.

3. O serviço de backend processa a solicitação e retorna uma resposta.

4. O API Gateway devolve a resposta do serviço de backend ao cliente.

Durante todo esse processo, o API Gateway emprega a autenticação por token para autorizar o acesso à API com base no seu sistema de usuários. As seções a seguir descrevem o JSON Web Token (JWT), usado pelo API Gateway para autenticação.

JWT

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

{
  'typ': 'JWT',
  'alg': 'HS256'
}

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

iss: Issuer. The principal that issued the token. This claim is a string.
sub: Subject. The principal that is the subject of the token. This value is unique within the scope of the issuer. It is a case-sensitive string with a maximum length of 255 ASCII characters.
aud: Audience. The recipients that the token is intended for. This is a case-sensitive array of strings.
exp: Expiration Time. The time after which the token is considered invalid. This claim is an integer that represents the number of seconds from 1970-01-01T00:00:00Z.
iat: Issued At. The time at which the token was issued. This claim is an integer that represents the number of seconds from 1970-01-01T00:00:00Z.
jti: JWT ID. A unique identifier for the token. This value is unique for each token created by the same issuer and is often a cryptographically random value to prevent collisions. This value adds a random entropy component to the structured token that an attacker cannot obtain, which helps prevent token guessing and replay attacks.

{
  "sub": "1234567890",
  "name": "John Doe"
}

JTdCJTBBJTIwJTIwJTIyc3ViJTIyJTNBJTIwJTIyMTIzNDU2Nzg5MCUyMiUyQyUwQSUyMCUyMCUyMm5hbWUlMjIlM0ElMjAlMjJKb2huJTIwRG9lJTIyJTBBJTdE

// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, '$secret');

2,1 Gere um par de JSON Web Key (JWK)

<dependency>
     <groupId>org.bitbucket.b_c</groupId>
    <artifactId>jose4j</artifactId>
    <version>0.7.0</version>
</dependency>

RsaJsonWebKey rsaJsonWebKey = RsaJwkGenerator.generateJwk(2048);
rsaJsonWebKey.setKeyId("authServer");
final String publicKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.PUBLIC_ONLY);
final String privateKeyString = rsaJsonWebKey.toJson(JsonWebKey.OutputControlLevel.INCLUDE_PRIVATE);

2,2 Implemente um serviço de emissão de tokens

Use a string JSON JWK da chave pública gerada on-line na Seção 2,1 ou a string JSON privateKeyString gerada localmente como chave privada para emitir tokens. Esses tokens autorizam usuários confiáveis a acessar APIs protegidas. Para mais informações, consulte Código de exemplo para o serviço de emissão e autenticação de tokens. A forma de emissão dos tokens depende dos seus cenários de negócios. Implante o recurso de emissão de tokens em um ambiente de produção como uma API regular que permite aos visitantes obter um token com nome de usuário e senha, ou gere um token localmente e forneça-o diretamente a um usuário específico.

2,3 Configure o plug-in JWT

1. Faça login no console do API Gateway.

2. No painel de navegação à esquerda, escolha API Management > Plug-in Management.

3. Na página de gerenciamento de plug-ins, clique em Create Plug-in no canto superior direito.

4. Na página Create Plug-in, defina Plug-in Name e selecione um Plug-in Type. O código a seguir é um exemplo de configuração para um plug-in de autenticação JWT. Para mais detalhes sobre a configuração, consulte Plug-in de autenticação JWT.

---
parameter: X-Token         # The parameter from which to retrieve the JWT. This corresponds to an API parameter.
parameterLocation: header  # The location from which to read the JWT. This parameter is optional if the API is in mapping mode, but required if the API is in pass-through mode. Valid values: `query` and `header`.
claimParameters:           # Claim parameter mapping. API Gateway maps JWT claims to backend parameters.
- claimName: aud           # The name of the claim. Public and private claims are supported.
  parameterName: X-Aud     # The name of the mapped parameter.
  location: header         # The location of the mapped parameter. Valid values: `query`, `header`, `path`, and `formData`.
- claimName: userId        # The name of the claim. Public and private claims are supported.
  parameterName: userId    # The name of the mapped parameter.
  location: query          # The location of the mapped parameter. Valid values: `query`, `header`, `path`, and `formData`.
preventJtiReplay: false    # Specifies whether to enable anti-replay checks for the `jti` claim. Default value: false.
# The public key of the JSON Web Key (JWK) generated in section 2.1.
jwk:
  kty: RSA
  e: AQAB
  use: sig
  kid: uniq_key
  alg: RS256
  n: qSVxcknOm0uCq5vGsOmaorPDzHUubBmZZ4UXj-9do7w9X1uKFXAnqfto4TepSNuYU2bA_-tzSLAGBsR-BqvT6w9SjxakeiyQpVmexxnDw5WZwpWenUAcYrfSPEoNU-0hAQwFYgqZwJQMN8ptxkd0170PFauwACOx4Hfr-9FPGy8NCoIO4MfLXzJ3mJ7xqgIZp3NIOGXz-GIAbCf13ii7kSStpYqN3L_zzpvXUAos1FJ9IPXRV84tIZpFVh2lmRh0h8ImK-vI42dwlD_hOIzayL1Xno2R0T-d5AwTSdnep7g-Fwu8-sj4cCRWq3bd61Zs2QOJ8iustH0vSRMYdP5oYQ

2,4 Vincule o plug-in JWT a uma API

Na página Plug-ins, localize o plug-in de autenticação JWT criado e clique em Bind API. Na caixa de diálogo, selecione as APIs do grupo de APIs e do ambiente especificados, adicione-as à lista à direita e clique em OK.

Se uma API já estiver vinculada a um plug-in do mesmo tipo, o novo plug-in substituirá o existente. Prossiga com cautela.

O recurso de depuração de API no console do API Gateway não oferece suporte ao plug-in de autenticação JWT. Para testar APIs vinculadas ao plug-in, use uma ferramenta como o Postman ou execute o comando curl.

import java.security.PrivateKey; 
import org.jose4j.json.JsonUtil;
import org.jose4j.jwk.RsaJsonWebKey;
import org.jose4j.jwk.RsaJwkGenerator;
import org.jose4j.jws.AlgorithmIdentifiers;
import org.jose4j.jws.JsonWebSignature;
import org.jose4j.jwt.JwtClaims;
import org.jose4j.jwt.NumericDate;
import org.jose4j.lang.JoseException;
public class GenerateJwtDemo {
    public static void main(String[] args) throws JoseException  {
          // Use the keyId that is set in API Gateway.
        String keyId = "uniq_key";
          // Use the key pair that you generated in Section 2.1.
        String privateKeyJson = "{\n"
            + "  \"kty\": \"RSA\",\n"
            + "  \"d\": "
            +
            "\"O9MJSOgcjjiVMNJ4jmBAh0mRHF_TlaVva70Imghtlgwxl8BLfcf1S8ueN1PD7xV6Cnq8YenSKsfiNOhC6yZ_fjW1syn5raWfj68eR7cjHWjLOvKjwVY33GBPNOvspNhVAFzeqfWneRTBbga53Agb6jjN0SUcZdJgnelzz5JNdOGaLzhacjH6YPJKpbuzCQYPkWtoZHDqWTzCSb4mJ3n0NRTsWy7Pm8LwG_Fd3pACl7JIY38IanPQDLoighFfo-Lriv5z3IdlhwbPnx0tk9sBwQBTRdZ8JkqqYkxUiB06phwr7mAnKEpQJ6HvhZBQ1cCnYZ_nIlrX9-I7qomrlE1UoQ\",\n"
            + "  \"e\": \"AQAB\",\n"
            + "  \"kid\": \"myJwtKey\",\n"
            + "  \"alg\": \"RS256\",\n"
            + "  \"n\": \"vCuB8MgwPZfziMSytEbBoOEwxsG7XI3MaVMoocziP4SjzU4IuWuE_DodbOHQwb_thUru57_Efe"
            +
            "--sfATHEa0Odv5ny3QbByqsvjyeHk6ZE4mSAV9BsHYa6GWAgEZtnDceeeDc0y76utXK2XHhC1Pysi2KG8KAzqDa099Yh7s31AyoueoMnrYTmWfEyDsQL_OAIiwgXakkS5U8QyXmWicCwXntDzkIMh8MjfPskesyli0XQD1AmCXVV3h2Opm1Amx0ggSOOiINUR5YRD6mKo49_cN-nrJWjtwSouqDdxHYP-4c7epuTcdS6kQHiQERBd1ejdpAxV4c0t0FHF7MOy9kw\"\n"
            + "}";
        JwtClaims claims = new JwtClaims();
        claims.setGeneratedJwtId();
        claims.setIssuedAtToNow();
        // The expiration time must be set and be less than 7 days.
        NumericDate date = NumericDate.now();
        date.addSeconds(120*60);
        claims.setExpirationTime(date);
        claims.setNotBeforeMinutesInThePast(1);
        claims.setSubject("YOUR_SUBJECT");
        claims.setAudience("YOUR_AUDIENCE");
        // Add custom parameters. All values must be of the String type.
        claims.setClaim("userId", "1213234");
        claims.setClaim("email", "userEm***@youapp.com");
        JsonWebSignature jws = new JsonWebSignature();
        jws.setAlgorithmHeaderValue(AlgorithmIdentifiers.RSA_USING_SHA256);
          // This parameter is required.
        jws.setKeyIdHeaderValue(keyId);
        jws.setPayload(claims.toJson());
        PrivateKey privateKey = new RsaJsonWebKey(JsonUtil.parseJson(privateKeyJson)).getPrivateKey();
        jws.setKey(privateKey);
        String jwtResult = jws.getCompactSerialization();
        System.out.println("Generate Json Web token , result is " + jwtResult);
    }
}