负载均衡：使用ALB扩展版实现JWT入站身份认证

4.1 生成JWT密钥对和Token

使用Python脚本生成符合规范的公钥JSON文件，以及一个用于测试的JWT Token。

1. 登录ECS实例，安装必要的Python依赖库。Alibaba Cloud Linux 默认已安装Python3，需补充安装 jwcrypto 库：

   sudo pip3 install --upgrade pip
   sudo pip3 install jwcrypto

2. 创建生成脚本 generate_jwt_jwks.py。

   sudo vim generate_jwt_jwks.py

   将以下代码复制到文件中：

   import json
   import time
   import sys
   
   # 检查依赖库
   try:
       from jwcrypto import jwk, jwt
   except ImportError:
       print("Error: Library 'jwcrypto' is not installed.")
       print("Please run: pip3 install jwcrypto")
       sys.exit(1)
   
   def main():
       print(">>> 开始生成 JWKS 和 JWT...\n")
   
       # --- 配置信息 ---
       KEY_ID = "aliyun-test-kid"            # 密钥ID
       ISSUER = "http://your-nginx-server-ip" # 建议修改为实际 Nginx IP 或域名，也可保持默认
       SUBJECT = "test-user-001"             # 测试用户标识
       
       # --- 1. 生成 RSA 密钥对 (2048位) ---
       # 使用 RS256 算法生成密钥
       key = jwk.JWK.generate(kty='RSA', size=2048, alg='RS256', use='sig', kid=KEY_ID)
       
       # --- 2. 导出公钥并保存为 jwks.json ---
       # Nginx 需要读取这个文件来验证 Token
       public_key = key.export_public(as_dict=True)
       jwks_data = {
           "keys": [public_key]
       }
   
       jwks_filename = "jwks.json"
       with open(jwks_filename, "w") as f:
           json.dump(jwks_data, f, indent=4)
           
       print(f"[成功] JWKS 文件已创建: ./{jwks_filename}")
       print(f"       后续步骤: 请将此文件移动到 Nginx 目录下。")
   
       # --- 3. 生成签名 JWT (使用私钥) ---
       claims = {
           "sub": SUBJECT,
           "iss": ISSUER,
           "name": "Aliyun Doc User",
           "role": "admin",
           "iat": int(time.time()),            
           # 有效期设为 100 年，避免测试期间 Token 过期
           "exp": int(time.time()) + 3600 * 24 * 365 * 100 
       }
   
       # 创建并签名 Token
       token = jwt.JWT(
           header={"alg": "RS256", "kid": KEY_ID, "typ": "JWT"},
           claims=claims
       )
       token.make_signed_token(key)
       
       print("\n[成功] 测试 JWT 已生成 (有效期 100 年):")
       print("-" * 60)
       print(token.serialize())
       print("-" * 60)
       print("操作: 请使用此 Token 进行 API 请求测试。")
   
   if __name__ == "__main__":
       main()

3. 运行脚本生成文件：

   sudo python3 generate_jwt_jwks.py

   请注意记录脚本输出中生成的 Token 字符串（即 eyJ... 开头的长字符串），后续将在验证环节使用。

4.2 安装和配置Nginx

在ECS实例上安装Nginx，并配置托管上一步生成的 jwks.json 文件。

1. 安装Nginx：

   sudo yum install -y nginx
   sudo systemctl start nginx
   sudo systemctl enable nginx

2. 准备存放目录并将生成的公钥JSON文件移动到该目录：

   # 创建存放目录
   sudo mkdir -p /usr/share/nginx/html/auth
   
   # 移动 jwks.json 文件
   sudo cp jwks.json /usr/share/nginx/html/auth/jwks.json
   
   # 赋予读取权限
   sudo chmod 644 /usr/share/nginx/html/auth/jwks.json

3. 在 /etc/nginx/default.d/ 目录下创建配置文件 jwks.conf：

   sudo vim /etc/nginx/default.d/jwks.conf

   填入以下配置：

   location /auth/v1 {
       # 禁用缓存，确保客户端总是获取最新的公钥配置
       add_header Cache-Control "no-store, no-cache, must-revalidate";
       
       # 设置正确的响应类型
       default_type application/json;
       
       # 使用 alias 直接指向文件
       alias /usr/share/nginx/html/auth/jwks.json;
   }

4. 验证Nginx配置并重新加载：

   sudo nginx -t
   sudo systemctl reload nginx

5. 测试JWKS服务器是否正常返回：

   curl http://localhost:port/auth/v1

   应返回包含 RSA 算法（alg: RS256）公钥信息的 JSON 数据，证明 JWKS 服务部署成功。

6. 记录ECS实例的私网IP地址，后续用于配置服务扩展。

请求携带正确的JWT Token

即请求包含Authorization: Bearer <token>头字段，其中<token>为步骤4.1中生成的JWT Token。

# 将下方的 <Token字符串> 替换为步骤 4.1 脚本输出的实际内容
token="<Token字符串>"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是谁"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

请求成功时，返回HTTP 200状态码和AI服务响应：

{
    "choices": [
        {
            "finish_reason": "stop",
            "index": 0,
            "message": {
                "content": "我是千问，是阿里巴巴集团旗下的通义实验室自主研发的超大规模语言模型。我能够回答问题、创作文字、逻辑推理、编程等多种任务。你可以问我任何问题，我会尽我所能提供帮助。",
                "role": "assistant"
            }
        }
    ],
    "created": 1767613123,
    "id": "chatcmpl-01fb9300-df1d-98d1-9f5d-874fddebf13f",
    "model": "qwen-turbo",
    "object": "chat.completion",
    "usage": {
        "completion_tokens": 47,
        "prompt_tokens": 14,
        "prompt_tokens_details": {
            "cached_tokens": 0
        },
        "total_tokens": 61
    }
}

请求携带错误的JWT Token或请求不携带JWT Token

token="wrong-jwt-token"

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是谁"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions", error="invalid_token"
content-length: 79
content-type: text/plain
vary: Accept-Encoding
date: Wed, 21 Jan 2026 06:57:46 GMT

Jwt verification fails

curl -v \
    -H "k: v" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是谁"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
www-authenticate: Bearer realm="https://ai.example.com/v1/chat/completions"
content-length: 14
content-type: text/plain
date: Wed, 21 Jan 2026 07:00:10 GMT

Jwt is missing

JWT认证失败，返回Jwks remote fetch is failed

说明ALB无法从远程JWKS服务器获取公钥用于认证。可遵循以下思路进行排查：

• 确认服务扩展中配置的远程服务URL正确，且使用ECS实例的私网IP地址。

• 确认ALB实例与ECS实例在同一VPC内，网络互通。

• 确认ECS实例所在安全组及其系统防火墙已放行VSW1、VSW2网段对Nginx服务端口的访问。

• 确认JWKS服务器正常运行，可通过curl命令在ECS实例本地进行测试。

已配置JWT认证，请求不带token却可以成功

• 确认转发条件与实际请求匹配且转发规则具备足够高的优先级，确保需要进行认证的请求能命中转发规则。

• 确认服务扩展正确添加了JWT认证组件且已关联转发规则。