Function Compute:Configure a autenticação JWT para um gatilho HTTP

Informações de fundo

Pré-requisitos

Crie uma função e um gatilho HTTP. Para obter mais informações, consulte Criar uma função e Criar um gatilho.

Limites

• Você pode usar qualquer método para gerar e distribuir JWTs. O Function Compute autentica os JWTs usando o JWKS público configurado para o gatilho.

• O Function Compute aceita uma JSON Web Key (JWK) sem kid (ID da chave).

• O gatilho pode ler um token de um header da requisição, de um parâmetro de Query (para requisições GET), de um parâmetro de formulário (para requisições POST) ou de um cookie.

• É possível encaminhar os claims para a função como um header, um parâmetro de formulário (para requisições POST) ou um cookie.

• O Function Compute permite configurar um JWKS para um gatilho HTTP. O sistema pesquisa no JWKS uma JWK pública com um kid correspondente ao do token e usa essa chave pública para verificar a assinatura do token. Um JWKS de gatilho pode ter, no máximo, uma JWK onde o kid esteja ausente ou seja uma string vazia.

  O JWT do Function Compute aceita os seguintes algoritmos.

  Algoritmo de assinatura	Valor Alg
  RSASSA-PKCS1-V1_5	RS256, RS384, RS512
  RSASSA-PSS	PS256, PS384, PS512
  Curva Elíptica (ECDSA)	ES256, ES384, ES512
  HMAC	HS256, HS384, HS512
  EdDSA	EdDSA

  Importante

  • O algoritmo de assinatura HMAC usa criptografia simétrica e é menos seguro. Recomendamos o uso de um algoritmo de criptografia assimétrica mais seguro.

  • Ao usar um algoritmo de criptografia assimétrica, por questões de segurança, seu JWT deve conter apenas informações de chave pública. Não inclua informações de chave privada.

  • Recomendamos o uso de HTTPS para proteger informações sensíveis, como o token nas requisições, a fim de evitar vazamento de tokens.

Procedimento

Etapa 1: Configurar a autenticação JWT

Etapa 2: Verificar a configuração

Use uma ferramenta de teste, como o Postman, para verificar se o acesso ao serviço HTTP ocorre conforme esperado com base na configuração JWT do gatilho HTTP, fornecendo um endpoint, token e outras informações.

1. Use a chave privada no formato X.509 PEM gerada na Etapa 1 para emitir um token JWT. Os passos a seguir mostram como gerar um token usando um script Python local.

   1. Instale o módulo PyJWT.

      pip install 'PyJWT>=2.0'

   2. Execute o seguinte script Python de exemplo localmente para gerar um token JWT.

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <The X.509 PEM-format private key generated in Step 1>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # The time when the token was issued.
          "exp": int(time.time()) + 60 * 60,   # Set the token to be valid for 1 hour.
      }
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Use o Postman para verificar se o serviço HTTP está acessível.

   1. Na aba Trigger da página de detalhes da função, obtenha o endpoint público do gatilho HTTP e insira-o no campo URL do Postman.

   2. No Postman, configure o parâmetro do token nos headers e clique em Send. A tabela a seguir fornece um exemplo da configuração do token.

      Parâmetro	Valor	Descrição
      Chave	Authentication	O nome do parâmetro especificado na seção JWT Token Configuration.
      Valor	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	O valor do parâmetro Remove Prefix especificado na seção JWT Token Configuration, concatenado com o token JWT. O valor de exemplo assume que Remove Prefix está definido como Bearer .

      Importante

      O prefixo e o espaço para o parâmetro JWT no header da requisição devem corresponder exatamente ao valor de Remove Prefix especificado na seção JWT Token Configuration. Caso contrário, o gatilho falhará ao analisar o token e retornará um erro invalid or expired jwt.

Perguntas frequentes