Function Compute：為HTTP觸發器配置JWT認證鑒權

1. 登入Function Compute控制台，在左側導覽列，單擊服務及函數。
2. 在頂部功能表列，選擇地區，然後在服務列表頁面，單擊目標服務。
3. 在函數管理頁面，單擊目標函數名稱，然後在函數詳情頁面，單擊觸發器管理（URL）頁簽。

4. 在觸發器管理（URL）頁簽，單擊HTTP觸發器操作列的編輯按鈕。

5. 在編輯觸發程序面板，設定以下配置項，然後單擊確定。

   1. 認證方式選擇為JWT 認證。

      

   2. 配置JWKS。

      為HTTP觸發器配置JWT鑒權，首先需要提供一個有效JWKS（JSON Web Key Set）。您可以自行產生JWKS，或者搜尋JSON Web Key Generator尋找線上可用的產生工具，例如mkjwk.org。如果您已經有pem格式的密鑰，可以藉助工具（例如jwx），將其轉換為JWKS格式。

      本文使用mkjwk.org工具產生JWKS，在產生介面選擇Show X.509為Yes才能查看Private Key。在您的代碼中需要使用Private Key簽發JWT Token，請妥善儲存。您可以複製Public Key中的內容填入到控制台中的JWKS的keys數組中。具體可參考下圖。

      

      本文配置的JWKS樣本如下。

      {
          "keys": [
              {
                  "alg": "RS256",
                  "e": "AQAB",
                  "kty": "RSA",
                  "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
                  "use": "sig"
              }
          ]
      }

   3. 在JWT Token 配置配置項中，選擇Token所在位置和Token的名稱。

      Token位置支援Header、Cookie、Query參數（GET）和表單參數（POST）。如果Token位置選擇為Header，則還需為其指定參數名稱和去除首碼。Function Compute在擷取Token時，會刪除去除首碼中設定的首碼內容。

      重要

      設定去除首碼時，請注意首碼後面是否存在空格。推薦在首碼欄位後加一個空格，例如Bearer 。

   4. 在JWT Claim 轉換配置項中，選擇透傳給函數的參數所在位置、參數原始名稱和參數透傳給函數之後的名稱。

      映射參數位置支援Header、Cookie、Query參數（GET）和表單參數（POST）。

   5. 佈建要求匹配模式。

      • 匹配全部：所有HTTP請求都需要進行JWT校正。

      • 白名單模式：請求路徑白名單中設定的Path的HTTP請求不需要JWT校正，其他請求需要JWT校正。

      • 黑名單模式：請求路徑黑名單中設定的Path的HTTP請求需要JWT校正，其他請求不需要JWT校正。

      白名單模式和黑名單模式支援以下兩種匹配模式。

      • 精確匹配

        請求的路徑和設定的路徑完全一致才可以匹配。例如，設定請求路徑黑名單為/a，則來自路徑/a的請求需要JWT校正，來自路徑/a/的請求無需校正。

      • 模糊比對

        支援使用萬用字元（*）設定路徑，且萬用字元（*）只能放到路徑的最後。例如，設定請求路徑黑名單為/login/*，則來自路徑首碼為/login/（例如/login/a、/login/b/c/d）的請求均需要JWT校正。

在調測工具（本文以Postman工具為例）中，根據HTTP觸發器的JWT配置，填寫訪問地址、Token等，驗證是否可以正常訪問HTTP服務。

1. 使用步驟一中產生的X.509 PEM格式的Private Key作為私密金鑰來頒發JWT Token。以下步驟以Python為例示範通過本地指令碼產生Token的過程。

   1. 安裝 PyJWT模組。

      pip install PyJWT

   2. 在本地運行如下Python樣本指令碼產生JWT Token。

      import jwt
      import time
      
      private_key = """
      -----BEGIN PRIVATE KEY-----
      <使用步驟一產生的 X.509 PEM格式的private key>
      -----END PRIVATE KEY-----
      """
      
      headers = {
          "alg": "RS256",
          "typ": "JWT"
      }
      
      payload = {
          "sub": "1234567890",
          "name": "John Snow",
          "iat": int(time.time()),   # token頒發時間
          "exp": int(time.time()) + 60 * 60,   # 設定token有效時間為1小時
      }
      
      
      encoded = jwt.encode(payload=payload, key=private_key.encode(), headers=headers)
      print("Generated token: %s" % encoded)
      

2. 使用Postman工具驗證HTTP服務是否可正常訪問。

   1. 在目標函數的觸發器管理（URL）頁簽擷取HTTP觸發器的公網訪問地址，將地址填入Postman的URL位置。

   2. 在Postman的Headers配置Token參數資訊，然後單擊Send發送請求。本文填寫的Token樣本如下。

      名稱	樣本值	說明
      Key	Authentication	在JWT Token 配置中設定的參數名稱。
      Value	Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg	在JWT Token 配置中設定的去除首碼資訊拼接JWT Token。樣本值假設去除首碼已設定為Bearer 。

      重要

      請注意，請求header中JWT參數的首碼和空格需要與JWT Token 配置中設定的去除首碼內容一致，否則會導致觸發器解析Token時出錯並返回invalid or expired jwt錯誤。