Function Compute:HTTPトリガーのJWT認証の設定

1. Function Computeコンソールにログインします。 左側のナビゲーションウィンドウで、[サービスと機能] をクリックします。

2. 上部のナビゲーションバーで、リージョンを選択します。 [サービス] ページで、目的のサービスをクリックします。

3. [関数] ページで、目的の関数の名前をクリックします。 表示される [機能の詳細] ページで、[トリガー管理 (URL)] タブをクリックします。

4. トリガー管理 (URL)タブで、アクション列で、HTTPトリガーの変更をクリックしします。

5. [トリガーの変更] パネルで、次のパラメーターを設定し、OKをクリックします。

   1. [認証方法] を [JWT認証] に設定します。

      

   2. 設定JWKS.

      HTTPトリガーのJWT認証を設定するには、有効なJWKSを指定する必要があります。 JWKSを手動で生成するか、WebブラウザーでJSON web Keyジェネレーターで検索して、mkjwk.orgなどのオンラインジェネレーターを使用することができます。 プライバシー強化メール (PEM) 形式のキーがある場合は、jwxなどのツールを使用してキーをJWKS形式に変換できます。

      この例では、mkjwk.orgを使用してJWKSを生成します。 JWKSを生成するページで、Show X.509をYesに設定して秘密鍵を表示します。 JWTを発行するには、秘密鍵を使用する必要があります。 秘密鍵を安全に保つ。 Function Computeコンソールで、公開鍵の内容をJWKSのkeys配列にコピーできます。 詳細は以下の図をご参照ください。

      

      サンプルコード：

      {
          "keys": [
              {
                  "alg": "RS256",
                  "e": "AQAB",
                  "kty": "RSA",
                  "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
                  "use": "sig"
              }
          ]
      }

   3. JWTトークンの設定セクションで、トークンの位置と名前を選択します。

      トークンの読み取り位置パラメーターをヘッダー、Cookie、クエリパラメーター、またはフォームパラメーターに設定できます。 トークンの読み取り位置パラメーターをヘッダーに設定した場合、パラメーター名およびプレフィックスの削除パラメーターを指定する必要があります。 Function Computeがトークンを取得すると、[プレフィックスの削除] パラメーターで指定されたプレフィックスが削除されます。

      重要

      プレフィックスの削除パラメーターを設定するときに、プレフィックスの後にスペースが存在するかどうかを確認します。 指定したプレフィックスの後にスペースを追加することを推奨します (例: Bearer) 。

   4. JWTクレーム変換セクションで、パラメーターを関数に渡す位置、パラメーターの元の名前、およびパラメーターが関数に渡された後のパラメーターの新しい名前を選択します。

      マッピングパラメーターの位置パラメーターをヘッダー、Cookie、クエリパラメーター、またはフォームパラメーターに設定できます。

   5. リクエストマッチングモードを指定します。

      • すべて一致: すべてのHTTPリクエストは、JWTを使用して検証する必要があります。

      • ホワイトリストモード: [リクエストパスのホワイトリスト] で指定されたパスから送信されるHTTPリクエストは、JWTを使用して認証されません。 他の要求は、JWTを使用して認証される。

      • ブラックリストモード: [リクエストパスのブラックリスト] で指定されたパスから送信されたHTTPリクエストは、JWTを使用して認証されます。 その他のリクエストは、JWTを使用して認証されません。

      ホワイトリストモードとブラックリストモードは、次の対応モードをサポートしています。

      • 正確なマッチング

        パスは、指定されたパスとまったく同じ場合にのみ一致します。 たとえば、[リクエストパスのブラックリスト] を /aに設定した場合、/aから送信されるリクエストにはJWT認証が必要です。 /a/ から送信されるリクエストには、JWT認証は必要ありません。

      • ファジーマッチング

        ワイルドカードとしてアスタリスク (*) が付加されたパスに値を設定できます。 たとえば、[リクエストパスのブラックリスト] パラメーターを /login/* に設定した場合、/login/ というプレフィックスが付いたパス (/login/aや /login/b/c/dなど) から送信されるリクエストにはJWT認証が必要です。

このセクションでは、HTTPトリガーのJWT設定に基づいてツールを使用して、HTTPサービスに期待どおりにアクセスできるかどうかを確認する方法について説明します。 このセクションでは、Postmanが使用されます。

1. 手順1で生成されたX.509 PEM形式の秘密鍵を秘密鍵として使用して、JWTを発行します。 次の手順では、Pythonを例として使用して、ローカルスクリプトを使用してトークンを生成するプロセスを示します。

   1. PyJWTモジュールをインストールします。

      pip install PyJWT

   2. オンプレミスマシンで次のPythonスクリプトを実行して、JWTを生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <Use the private key in the X.509 PEM format generated in Step 1>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # The time when the token was issued.
          "exp": int(time.time()) + 60 * 60,   # Set the validity period of the token to 1 hour.
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postmanを使用して、HTTPサービスにアクセスできるかどうかを確認します。

   1. 管理する関数の [トリガー管理 (URL)] タブで、HTTPトリガーのインターネットエンドポイントを取得します。 次に、Postmanのアドレスバーにエンドポイントを入力します。

   2. Postmanの [ヘッダー] タブでトークンパラメーターを設定し、[送信] をクリックしてリクエストを送信します。 次の表に、トークンの設定を示します。

      名前	例	説明
      Key	認証	[JWTトークン設定] セクションで指定したトークンの名前。
      値	ベアラーeyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	JWTトークン設定のプレフィックスの削除パラメーターの値を含むJWT値。 この例では、Remove PrefixパラメーターはBearerに設定されています。

      重要

      リクエストヘッダーのJWTパラメーターのプレフィックスとスペースは、[JWTトークン設定] セクションの [プレフィックスの削除] パラメーターと同じである必要があります。 それ以外の場合、トリガーがトークンを解析し、「invalidまたはexpired jwt」エラーを報告するときにエラーが発生します。