Server Load Balancer：JWT入站身份認證實踐

4.1 產生JWT金鑰組和Token

使用Python指令碼產生符合規範的公開金鑰JSON檔案，以及一個用於測試的JWT Token。

1. 登入ECS執行個體，安裝必要的Python依賴庫。Alibaba Cloud Linux 預設已安裝Python3，需匯集安裝 jwcrypto 庫：

   sudo pip3 install --upgrade pip
   sudo pip3 install jwcrypto

2. 建立產生指令碼 generate_jwt_jwks.py。

   sudo vim generate_jwt_jwks.py

   將以下代碼複製到檔案中：

   import json
   import time
   import sys
   
   # 檢查依賴庫
   try:
       from jwcrypto import jwk, jwt
   except ImportError:
       print("Error: Library 'jwcrypto' is not installed.")
       print("Please run: pip3 install jwcrypto")
       sys.exit(1)
   
   def main():
       print(">>> 開始產生 JWKS 和 JWT...\n")
   
       # --- 配置資訊 ---
       KEY_ID = "aliyun-test-kid"            # 密鑰ID
       ISSUER = "http://your-nginx-server-ip" # 建議修改為實際 Nginx IP 或網域名稱，也可保持預設
       SUBJECT = "test-user-001"             # 測試使用者標識
       
       # --- 1. 產生 RSA 金鑰組 (2048位) ---
       # 使用 RS256 演算法產生密鑰
       key = jwk.JWK.generate(kty='RSA', size=2048, alg='RS256', use='sig', kid=KEY_ID)
       
       # --- 2. 匯出公開金鑰並儲存為 jwks.json ---
       # Nginx 需要讀取這個檔案來驗證 Token
       public_key = key.export_public(as_dict=True)
       jwks_data = {
           "keys": [public_key]
       }
   
       jwks_filename = "jwks.json"
       with open(jwks_filename, "w") as f:
           json.dump(jwks_data, f, indent=4)
           
       print(f"[成功] JWKS 檔案已建立: ./{jwks_filename}")
       print(f"       後續步驟: 請將此檔案移動到 Nginx 目錄下。")
   
       # --- 3. 產生簽名 JWT (使用私密金鑰) ---
       claims = {
           "sub": SUBJECT,
           "iss": ISSUER,
           "name": "Aliyun Doc User",
           "role": "admin",
           "iat": int(time.time()),            
           # 有效期間設為 100 年，避免測試期間 Token 到期
           "exp": int(time.time()) + 3600 * 24 * 365 * 100 
       }
   
       # 建立並簽名 Token
       token = jwt.JWT(
           header={"alg": "RS256", "kid": KEY_ID, "typ": "JWT"},
           claims=claims
       )
       token.make_signed_token(key)
       
       print("\n[成功] 測試 JWT 已產生 (有效期間 100 年):")
       print("-" * 60)
       print(token.serialize())
       print("-" * 60)
       print("操作: 請使用此 Token 進行 API 請求測試。")
   
   if __name__ == "__main__":
       main()

3. 運行指令碼組建檔案：

   sudo python3 generate_jwt_jwks.py

   請注意記錄指令碼輸出中產生的 Token 字串（即 eyJ... 開頭的長字串），後續將在驗證環節使用。

4.2 安裝和配置Nginx

在ECS執行個體上安裝Nginx，並配置託管上一步產生的 jwks.json 檔案。

1. 安裝Nginx：

   sudo yum install -y nginx
   sudo systemctl start nginx
   sudo systemctl enable nginx

2. 準備存放目錄並將產生的公開金鑰JSON檔案移動到該目錄：

   # 建立存放目錄
   sudo mkdir -p /usr/share/nginx/html/auth
   
   # 移動 jwks.json 檔案
   sudo cp jwks.json /usr/share/nginx/html/auth/jwks.json
   
   # 賦予讀取許可權
   sudo chmod 644 /usr/share/nginx/html/auth/jwks.json

3. 在 /etc/nginx/default.d/ 目錄下建立設定檔 jwks.conf：

   sudo vim /etc/nginx/default.d/jwks.conf

   填入以下配置：

   location /auth/v1 {
       # 禁用緩衝，確保用戶端總是擷取最新的公開金鑰配置
       add_header Cache-Control "no-store, no-cache, must-revalidate";
       
       # 設定正確的響應類型
       default_type application/json;
       
       # 使用 alias 直接指向檔案
       alias /usr/share/nginx/html/auth/jwks.json;
   }

4. 驗證Nginx配置並重新載入：

   sudo nginx -t
   sudo systemctl reload nginx

5. 測試JWKS伺服器是否正常返回：

   curl http://localhost:port/auth/v1

   應返回包含 RSA 演算法（alg: RS256）公開金鑰資訊的 JSON 資料，證明 JWKS 服務部署成功。

6. 記錄ECS執行個體的私網IP地址，後續用於佈建服務擴充。

請求攜帶正確的JWT Token

即請求包含Authorization: Bearer <token>頭欄位，其中<token>為步驟4.1中產生的JWT Token。

# 將下方的 <Token字串> 替換為步驟 4.1 指令碼輸出的實際內容
token="<Token字串>"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

請求成功時，返回HTTP 200狀態代碼和AI服務響應：

{
    "choices": [
        {
            "finish_reason": "stop",
            "index": 0,
            "message": {
                "content": "我是千問，是阿里巴巴集團旗下的通義實驗室自主研發的超大規模語言模型。我能夠回答問題、創作文字、邏輯推理、編程等多種任務。你可以問我任何問題，我會盡我所能提供協助。",
                "role": "assistant"
            }
        }
    ],
    "created": 1767613123,
    "id": "chatcmpl-01fb9300-df1d-98d1-9f5d-874fddebf13f",
    "model": "qwen-turbo",
    "object": "chat.completion",
    "usage": {
        "completion_tokens": 47,
        "prompt_tokens": 14,
        "prompt_tokens_details": {
            "cached_tokens": 0
        },
        "total_tokens": 61
    }
}

請求攜帶錯誤的JWT Token或請求不攜帶JWT Token

token="wrong-jwt-token"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions", error="invalid_token"
content-length: 79
content-type: text/plain
vary: Accept-Encoding
date: Wed, 21 Jan 2026 06:57:46 GMT

Jwt verification fails

curl -v \
    -H "k: v" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions"
content-length: 14
content-type: text/plain
date: Wed, 21 Jan 2026 07:00:10 GMT

Jwt is missing

JWT認證失敗，返回Jwks remote fetch is failed

說明ALB無法從遠程JWKS伺服器擷取公開金鑰用於認證。可遵循以下思路進行排查：

• 確認服務擴充中配置的遠程服務URL正確，且使用ECS執行個體的私網IP地址。

• 確認ALB執行個體與ECS執行個體在同一VPC內，網路互連。

• 確認ECS執行個體所在安全性群組及其系統防火牆已允許存取VSW1、VSW2網段對Nginx服務連接埠的訪問。

• 確認JWKS伺服器正常運行，可通過curl命令在ECS執行個體本地進行測試。

已配置JWT認證，請求不帶token卻可以成功

• 確認轉寄條件與實際請求匹配且轉寄規則具備足夠高的優先順序，確保需要進行認證的請求能命中轉寄規則。

• 確認服務擴充正確添加了JWT認證組件且已關聯轉寄規則。