Function Compute:HTTPトリガーのJWT認証の設定

始める前に

関数と関数のHTTPトリガーを作成します。 詳細については、「関数の作成」および「手順1: トリガーの作成」をご参照ください。

制限事項

• ビジネス要件に基づいてJWTを生成および配布できます。 Function Computeは、トリガー用に設定されたパブリックJWKSを使用してJWTを認証します。

• kid (キーID) を持たないJSON Webキー (JWK) がサポートされています。

• トークンは、ヘッダー、クエリパラメーター (GETメソッドを使用) 、フォームパラメーター (POSTメソッドを使用) 、またはcookieから読み取ることができます。

• クレームをヘッダー、クエリパラメーター (GETメソッドを使用) 、フォームパラメーター (POSTメソッドを使用) 、およびCookieとして関数に転送できます。

• HTTPトリガーのJWKSを設定できます。 JWKSが設定された後、システムは、トークン内のkidと同じkidを持つパブリックJWKを求めてJWKSを検索し、パブリックJWKを使用してトークンの署名を検証します。 トリガーのJWKSは、kidが存在しないか、空の文字列に設定されているJWKを1つだけ持つことができます。

  次の表に、Function ComputeのJWTでサポートされているアルゴリズムを示します。

  署名アルゴリズム	alg値
  RSASSA-PKCS1-V1_5	RS256、RS384、またはRS512
  RSASSA-PSS	PS256、PS384、またはPS512
  楕円カーブ (ECDSA)	ES256、ES384、またはES512
  HMAC	HS256、HS384、またはHS512
  EdDSA	EdDSA

  重要

  • ハッシュベースのメッセージ認証コード (HMAC) 署名アルゴリズムは、弱いセキュリティを提供する対称暗号化を使用します。 セキュリティを強化するために、非対称暗号化アルゴリズムを使用することを推奨します。

  • 非対称暗号化アルゴリズムを使用する場合、セキュリティ上の理由から、秘密鍵ではなく公開鍵に関する情報のみをJWTに含める必要があります。

  • リクエスト内のトークンなどの機密情報を保護し、トークンの漏洩を防ぐためにHTTPSを使用することを推奨します。

手順

ステップ1: JWT認証の設定

ステップ2: JWT設定の確認

このセクションでは、HTTPトリガーのJWT設定に基づいてツールを使用して、HTTPサービスに期待どおりにアクセスできるかどうかを確認する方法について説明します。 このセクションでは、Postmanが使用されます。

1. 手順1で生成されたX.509 PEM形式の秘密鍵を秘密鍵として使用して、JWTを発行します。 次の手順では、Pythonを例として使用して、ローカルスクリプトを使用してトークンを生成するプロセスを示します。

   1. PyJWTモジュールをインストールします。

      pip install PyJWT

   2. オンプレミスマシンで次のPythonスクリプトを実行して、JWTを生成します。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <Use the private key in the X.509 PEM format generated in Step 1>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # The time when the token was issued.
          "exp": int(time.time()) + 60 * 60,   # Set the validity period of the token to 1 hour.
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. Postmanを使用して、HTTPサービスに期待どおりにアクセスできるかどうかを確認します。

   1. [設定] > [トリガー] ページからインターネットURLを取得し、PostmanにURLを入力します。

   2. Postmanの [ヘッダー] タブでトークンパラメーターを設定します。 次に、[送信] をクリックします。 次の表に、トークンの設定を示します。

      名前	値	説明
      Key	認証	[JWTトークン設定] セクションで指定したトークンの名前。
      値	ベアラーeyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	JWTトークン設定のプレフィックスの削除パラメーターの値を含むJWT値。 この例では、Remove PrefixパラメーターはBearerに設定されています。

      重要

      リクエストヘッダーのJWTパラメーターのプレフィックスとスペースは、[JWTトークン設定] セクションの [プレフィックスの削除] パラメーターと同じである必要があります。 それ以外の場合、トリガーがトークンを解析し、「invalidまたはexpired jwt」エラーを報告するときにエラーが発生します。

よくある質問