Создать политику JWT

Вы просматриваете документацию Apigee Edge .
Перейдите в документацию Apigee X.info

Что

Генерирует подписанный JWT с настраиваемым набором утверждений. Затем JWT может быть возвращен клиентам, передан на серверные устройства или использован другими способами. Подробное описание см. в разделе «Обзор JWS и политик JWT» .

Видео

Посмотрите короткое видео, чтобы узнать, как сгенерировать подписанный JWT.

Образцы

• Сгенерируйте JWT, подписанный с помощью алгоритма HS256.
• Сгенерируйте JWT, подписанный с помощью алгоритма RS256.

Сгенерируйте JWT, подписанный с помощью алгоритма HS256.

В этом примере политики генерируется новый JWT и подписывается с использованием алгоритма HS256. Алгоритм HS256 использует общий секрет как для подписи, так и для проверки подписи.

При срабатывании этой политики Edge кодирует заголовок и полезную нагрузку JWT, а затем подписывает JWT цифровой подписью. Полный пример, включая инструкцию по отправке запроса к политике, смотрите в видео выше.

Данная конфигурация политики создаст JWT с набором стандартных утверждений, определенных спецификацией JWT, включая срок действия в 1 час, а также дополнительное утверждение. Вы можете добавить столько дополнительных утверждений, сколько пожелаете. Подробную информацию о требованиях и параметрах каждого элемента в этом примере политики см. в справочнике элементов.

<GenerateJWT name="JWT-Generate-HS256">
    <DisplayName>JWT Generate HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
        <Id>1918290</Id>
    </SecretKey>
    <ExpiresIn>1h</ExpiresIn>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

Полученный JWT будет иметь следующий заголовок…

{
  "typ" : "JWT", 
  "alg" : "HS256",
  "kid" : "1918290"
}

…и будет иметь полезную нагрузку с содержимым примерно такого вида:

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "show",
  "iat" : 1506553019,
  "exp" : 1506556619,
  "jti" : "BD1FF263-3D25-4593-A685-5EC1326E1F37",
  "show": "And now for something completely different."
}

Значения заявок iat , exp и jti будут различаться.

Сгенерируйте JWT, подписанный с помощью алгоритма RS256.

В этом примере политики генерируется новый JWT и подписывается он с использованием алгоритма RS256. Генерация подписи RS256 основана на закрытом ключе RSA, который должен быть предоставлен в формате PEM. Полный пример, включая инструкцию по отправке запроса к политике, смотрите в видео выше.

При активации этой политики Edge кодирует и подписывает JWT цифровой подписью, включая утверждения. Чтобы узнать о частях JWT, а также о том, как они шифруются и подписываются, обратитесь к RFC7519 .

<GenerateJWT name="JWT-Generate-RS256">
    <Algorithm>RS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PrivateKey>
        <Value ref="private.privatekey"/>
        <Password ref="private.privatekey-password"/>
        <Id ref="private.privatekey-id"/>
    </PrivateKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <ExpiresIn>60m</ExpiresIn>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

Определение ключевых элементов

Элементы, используемые для указания ключа, применяемого для генерации JWT, зависят от выбранного алгоритма, как показано в следующей таблице:

<SecretKey>
  <Value ref="private.secretkey"/>
  <Id>1918290</Id>
</SecretKey>

<PrivateKey>
  <Value ref="private.privatekey"/>
  <Password ref="private.privatekey-password"/>
  <Id ref="private.privatekey-id"/>
</PrivateKey>

Справочник элементов для генерации JWT

В справочном документе по политике описаны элементы и атрибуты политики генерации JWT.

Примечание: Настройки могут несколько отличаться в зависимости от используемого алгоритма шифрования. Примеры настроек для конкретных сценариев использования см. в разделе «Примеры» .

Атрибуты, применяемые к элементу верхнего уровня.

<GenerateJWT name="JWT" continueOnError="false" enabled="true" async="false">

Следующие атрибуты являются общими для всех родительских элементов политики.

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Используйте этот параметр в дополнение к атрибуту name, чтобы присвоить политике в редакторе прокси-сервера пользовательского интерфейса управления другое имя, понятное на естественном языке.

<Алгоритм>

<Algorithm>algorithm-here</Algorithm>

Указывает алгоритм шифрования для подписи токена.

<Аудитория>

<Audience>audience-here</Audience>

or:

<Audience ref='variable_containing_audience'/>

Данная политика генерирует JWT, содержащий утверждение ud, установленное на указанное значение. Это утверждение идентифицирует получателей, которым предназначен JWT. Это одно из зарегистрированных утверждений, упомянутых в RFC7519 .

<AdditionalClaims/Claim>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
</AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

Позволяет указать дополнительные пары «имя/значение» в полезной нагрузке JWT. Вы можете указать утверждение явно в виде строки, числа, логического значения, карты или массива. Карта — это просто набор пар «имя/значение».

Элемент <Claim> имеет следующие атрибуты:

• Название - (Обязательно) Название претензии.
• ref - (Необязательно) Имя переменной потока. Если присутствует, политика будет использовать значение этой переменной в качестве утверждения. Если указаны и атрибут ref , и явное значение утверждения, по умолчанию используется явное значение, если ссылочная переменная потока не определена.
• тип - (Необязательно) Один из следующих вариантов: строка (по умолчанию), число, логическое значение или карта
• array - (Необязательно) Установите значение true , чтобы указать, является ли значение массивом типов. По умолчанию: false.

При добавлении элемента <Claim> имена утверждений задаются статически при настройке политики. В качестве альтернативы можно передать JSON-объект для указания имен утверждений. Поскольку JSON-объект передается в виде переменной, имена утверждений в сгенерированном JWT определяются во время выполнения.

Например:

<AdditionalClaims ref='json_claims'/>

Переменная json_claims содержит JSON-объект в следующем формате:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

Сгенерированный JWT включает в себя все утверждения, содержащиеся в JSON-объекте.

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Добавляет пару(и) дополнительное(ые) имя/значение утверждения в заголовок JWT.

Элемент <Claim> имеет следующие атрибуты:

• Название - (Обязательно) Название претензии.
• ref - (Необязательно) Имя переменной потока. Если присутствует, политика будет использовать значение этой переменной в качестве утверждения. Если указаны и атрибут ref , и явное значение утверждения, по умолчанию используется явное значение, если ссылочная переменная потока не определена.
• тип - (Необязательно) Один из следующих вариантов: строка (по умолчанию), число, логическое значение или карта
• array - (Необязательно) Установите значение true , чтобы указать, является ли значение массивом типов. По умолчанию: false.

<Критические заголовки>

<CriticalHeaders>a,b,c</CriticalHeaders>

or:

<CriticalHeaders ref=’variable_containing_headers’/>

Добавляет критический заголовок crit к заголовку JWT. Заголовок crit представляет собой массив имен заголовков, которые должны быть известны и распознаны получателем JWT. Например:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

Во время выполнения политика VerifyJWT проверяет заголовок crit . Для каждого элемента, указанного в заголовке crit , она проверяет, содержит ли элемент <KnownHeaders> политики VerifyJWT также этот заголовок. Любой заголовок, обнаруженный политикой VerifyJWT в crit , который не указан в <KnownHeaders> , приводит к сбою политики VerifyJWT.

<CustomClaims>

Примечание: В настоящее время при добавлении новой политики GenerateJWT через пользовательский интерфейс вставляется элемент CustomClaims. Этот элемент нефункционален и игнорируется. Вместо него следует использовать элемент <AdditionalClaims> . Пользовательский интерфейс будет обновлен для вставки правильных элементов позже.

<ExpiresIn>

<ExpiresIn>time-value-here</ExpiresIn>

Указывает срок службы JWT в миллисекундах, секундах, минутах, часах или днях.

<Id>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

Генерирует JWT с указанным утверждением jti. Если текстовое значение и атрибут ref пусты, политика сгенерирует jti, содержащий случайный UUID. Утверждение JWT ID (jti) является уникальным идентификатором для JWT. Для получения дополнительной информации о jti см. RFC7519 .

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Установите значение false, если хотите, чтобы политика выдавала ошибку, если какая-либо указанная в политике переменная не может быть разрешена. Установите значение true, чтобы рассматривать любую неразрешимую переменную как пустую строку (null).

<Эмитент>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

Данная политика генерирует JWT, содержащий утверждение с именем iss, значение которого установлено на указанное значение. Утверждение, идентифицирующее эмитента JWT. Это одно из зарегистрированных утверждений, упомянутых в RFC7519 .

<Не раньше>

<!-- Specify an absolute time. -->
<NotBefore>2017-08-14T11:00:21-07:00</NotBefore>
 -or-
<!-- Specify a time relative to when the token is generated. -->
<NotBefore>6h</NotBefore>

Указывает время, когда токен становится действительным. Токен недействителен до указанного времени. Вы можете указать либо абсолютное значение времени, либо время относительно момента генерации токена.

Допустимые значения времени для элемента NotBefore (абсолютные значения времени)

Для относительных значений времени укажите целое число и временной период, например:

• 10-е
• 60 м
• 12 ч

<OutputVariable>

<OutputVariable>jwt-variable</OutputVariable>

Указывает, куда следует поместить JWT, сгенерированный данной политикой. По умолчанию он помещается в переменную потока jwt. POLICYNAME .generated_jwt .

<PrivateKey/Id>

<PrivateKey>
  <Id ref="flow-variable-name-here"/>
</PrivateKey>

or

<PrivateKey>
  <Id>your-id-value-here</Id>
</PrivateKey>

Указывает идентификатор ключа (kid), который следует включить в заголовок JWT. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<Закрытый ключ/Пароль>

<PrivateKey>
  <Password ref="private.privatekey-password"/>
</PrivateKey>

При необходимости укажите пароль, который политика должна использовать для расшифровки закрытого ключа. Используйте атрибут `ref` для передачи ключа в переменной потока. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<PrivateKey/Value>

<PrivateKey>
  <Value ref="private.variable-name-here"/>
</PrivateKey>

Указывает закрытый ключ в формате PEM, используемый для подписи JWT. Используйте атрибут ref для передачи ключа в переменной потока. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<SecretKey/Id>

<SecretKey>
  <Id ref="flow-variable-name-here"/>
</SecretKey>

or

<SecretKey>
  <Id>your-id-value-here</Id>
</SecretKey>

Указывает идентификатор ключа (kid), который следует включить в заголовок JWT, подписанного с помощью алгоритма HMAC. Используйте только в том случае, если используется один из алгоритмов HS256/HS384/HS512.

<Секретный ключ/Значение>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

Предоставляет секретный ключ, используемый для проверки или подписи токенов с помощью алгоритма HMAC. Используйте только в том случае, если используется один из алгоритмов HS256/HS384/HS512. Используйте атрибут ref для передачи ключа в переменной потока.

Edge устанавливает минимальную стойкость ключа для алгоритмов HS256/HS384/HS512. Минимальная длина ключа для HS256 составляет 32 байта, для HS384 — 48 байт, а для HS512 — 64 байта. Использование ключа меньшей стойкости приводит к ошибке во время выполнения.

<Тема>

<Subject>subject-string-here</Subject>

<Subject ref="flow_variable" />

Например:

<Subject ref="apigee.developer.email"/>

Данная политика генерирует JWT, содержащий подпункт , установленный на указанное значение. Этот подпункт идентифицирует субъект JWT или делает заявление о нем. Это один из стандартных наборов подпунктов, упомянутых в RFC7519 .

Переменные потока

Политика Generate JWT не устанавливает переменные потока.

Ссылка на ошибку

В этом разделе описаны коды ошибок и сообщения об ошибках, которые возвращаются, а также переменные ошибок, которые устанавливаются Edge, когда эта политика вызывает ошибку. Эту информацию важно знать, если вы разрабатываете правила обработки ошибок. Дополнительные сведения см. в разделах Что нужно знать об ошибках политики и Обработка ошибок .

Ошибки выполнения

Эти ошибки могут возникнуть при выполнении политики.

Ошибки развертывания

Эти ошибки могут возникнуть при развертывании прокси-сервера, содержащего эту политику.

Переменные неисправности

Эти переменные устанавливаются при возникновении ошибки во время выполнения. Дополнительные сведения см. в разделе Что нужно знать об ошибках политики .

Пример ответа об ошибке

Для обработки ошибок лучше всего перехватывать часть errorcode в ответе на ошибку. Не полагайтесь на текст в faultstring , поскольку он может измениться.

Пример правила неисправности

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>
    

Вы просматриваете документацию Apigee Edge .
Перейдите в документацию Apigee X.info

Что

Генерирует подписанный JWT с настраиваемым набором утверждений. Затем JWT может быть возвращен клиентам, передан на серверные устройства или использован другими способами. Подробное описание см. в разделе «Обзор JWS и политик JWT» .

Видео

Посмотрите короткое видео, чтобы узнать, как сгенерировать подписанный JWT.

Образцы

• Сгенерируйте JWT, подписанный с помощью алгоритма HS256.
• Сгенерируйте JWT, подписанный с помощью алгоритма RS256.

Сгенерируйте JWT, подписанный с помощью алгоритма HS256.

В этом примере политики генерируется новый JWT и подписывается с использованием алгоритма HS256. Алгоритм HS256 использует общий секрет как для подписи, так и для проверки подписи.

При срабатывании этой политики Edge кодирует заголовок и полезную нагрузку JWT, а затем подписывает JWT цифровой подписью. Полный пример, включая инструкцию по отправке запроса к политике, смотрите в видео выше.

Данная конфигурация политики создаст JWT с набором стандартных утверждений, определенных спецификацией JWT, включая срок действия в 1 час, а также дополнительное утверждение. Вы можете добавить столько дополнительных утверждений, сколько пожелаете. Подробную информацию о требованиях и параметрах каждого элемента в этом примере политики см. в справочнике элементов.

<GenerateJWT name="JWT-Generate-HS256">
    <DisplayName>JWT Generate HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
        <Id>1918290</Id>
    </SecretKey>
    <ExpiresIn>1h</ExpiresIn>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

Полученный JWT будет иметь следующий заголовок…

{
  "typ" : "JWT", 
  "alg" : "HS256",
  "kid" : "1918290"
}

…и будет иметь полезную нагрузку с содержимым примерно такого вида:

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "show",
  "iat" : 1506553019,
  "exp" : 1506556619,
  "jti" : "BD1FF263-3D25-4593-A685-5EC1326E1F37",
  "show": "And now for something completely different."
}

Значения заявок iat , exp и jti будут различаться.

Сгенерируйте JWT, подписанный с помощью алгоритма RS256.

В этом примере политики генерируется новый JWT и подписывается он с использованием алгоритма RS256. Генерация подписи RS256 основана на закрытом ключе RSA, который должен быть предоставлен в формате PEM. Полный пример, включая инструкцию по отправке запроса к политике, смотрите в видео выше.

При активации этой политики Edge кодирует и подписывает JWT цифровой подписью, включая утверждения. Чтобы узнать о частях JWT, а также о том, как они шифруются и подписываются, обратитесь к RFC7519 .

<GenerateJWT name="JWT-Generate-RS256">
    <Algorithm>RS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PrivateKey>
        <Value ref="private.privatekey"/>
        <Password ref="private.privatekey-password"/>
        <Id ref="private.privatekey-id"/>
    </PrivateKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <ExpiresIn>60m</ExpiresIn>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

Определение ключевых элементов

Элементы, используемые для указания ключа, применяемого для генерации JWT, зависят от выбранного алгоритма, как показано в следующей таблице:

<SecretKey>
  <Value ref="private.secretkey"/>
  <Id>1918290</Id>
</SecretKey>

<PrivateKey>
  <Value ref="private.privatekey"/>
  <Password ref="private.privatekey-password"/>
  <Id ref="private.privatekey-id"/>
</PrivateKey>

Справочник элементов для генерации JWT

В справочном документе по политике описаны элементы и атрибуты политики генерации JWT.

Примечание: Настройки могут несколько отличаться в зависимости от используемого алгоритма шифрования. Примеры настроек для конкретных сценариев использования см. в разделе «Примеры» .

Атрибуты, применяемые к элементу верхнего уровня.

<GenerateJWT name="JWT" continueOnError="false" enabled="true" async="false">

Следующие атрибуты являются общими для всех родительских элементов политики.

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Используйте этот параметр в дополнение к атрибуту name, чтобы присвоить политике в редакторе прокси-сервера пользовательского интерфейса управления другое имя, понятное на естественном языке.

<Алгоритм>

<Algorithm>algorithm-here</Algorithm>

Указывает алгоритм шифрования для подписи токена.

<Аудитория>

<Audience>audience-here</Audience>

or:

<Audience ref='variable_containing_audience'/>

Данная политика генерирует JWT, содержащий утверждение ud, установленное на указанное значение. Это утверждение идентифицирует получателей, которым предназначен JWT. Это одно из зарегистрированных утверждений, упомянутых в RFC7519 .

<AdditionalClaims/Claim>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
</AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

Позволяет указать дополнительные пары «имя/значение» в полезной нагрузке JWT. Вы можете указать утверждение явно в виде строки, числа, логического значения, карты или массива. Карта — это просто набор пар «имя/значение».

Элемент <Claim> имеет следующие атрибуты:

• Название - (Обязательно) Название претензии.
• ref - (Необязательно) Имя переменной потока. Если присутствует, политика будет использовать значение этой переменной в качестве утверждения. Если указаны и атрибут ref , и явное значение утверждения, по умолчанию используется явное значение, если ссылочная переменная потока не определена.
• тип - (Необязательно) Один из следующих вариантов: строка (по умолчанию), число, логическое значение или карта
• array - (Необязательно) Установите значение true , чтобы указать, является ли значение массивом типов. По умолчанию: false.

При добавлении элемента <Claim> имена утверждений задаются статически при настройке политики. В качестве альтернативы можно передать JSON-объект для указания имен утверждений. Поскольку JSON-объект передается в виде переменной, имена утверждений в сгенерированном JWT определяются во время выполнения.

Например:

<AdditionalClaims ref='json_claims'/>

Переменная json_claims содержит JSON-объект в следующем формате:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

Сгенерированный JWT включает в себя все утверждения, содержащиеся в JSON-объекте.

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Добавляет пару(и) дополнительное(ые) имя/значение утверждения в заголовок JWT.

Элемент <Claim> имеет следующие атрибуты:

• Название - (Обязательно) Название претензии.
• ref - (Необязательно) Имя переменной потока. Если присутствует, политика будет использовать значение этой переменной в качестве утверждения. Если указаны и атрибут ref , и явное значение утверждения, по умолчанию используется явное значение, если ссылочная переменная потока не определена.
• тип - (Необязательно) Один из следующих вариантов: строка (по умолчанию), число, логическое значение или карта
• array - (Необязательно) Установите значение true , чтобы указать, является ли значение массивом типов. По умолчанию: false.

<Критические заголовки>

<CriticalHeaders>a,b,c</CriticalHeaders>

or:

<CriticalHeaders ref=’variable_containing_headers’/>

Добавляет критический заголовок crit к заголовку JWT. Заголовок crit представляет собой массив имен заголовков, которые должны быть известны и распознаны получателем JWT. Например:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

Во время выполнения политика VerifyJWT проверяет заголовок crit . Для каждого элемента, указанного в заголовке crit , она проверяет, содержит ли элемент <KnownHeaders> политики VerifyJWT также этот заголовок. Любой заголовок, обнаруженный политикой VerifyJWT в crit , который не указан в <KnownHeaders> , приводит к сбою политики VerifyJWT.

<CustomClaims>

Примечание: В настоящее время при добавлении новой политики GenerateJWT через пользовательский интерфейс вставляется элемент CustomClaims. Этот элемент нефункционален и игнорируется. Вместо него следует использовать элемент <AdditionalClaims> . Пользовательский интерфейс будет обновлен для вставки правильных элементов позже.

<ExpiresIn>

<ExpiresIn>time-value-here</ExpiresIn>

Указывает срок службы JWT в миллисекундах, секундах, минутах, часах или днях.

<Id>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

Генерирует JWT с указанным утверждением jti. Если текстовое значение и атрибут ref пусты, политика сгенерирует jti, содержащий случайный UUID. Утверждение JWT ID (jti) является уникальным идентификатором для JWT. Для получения дополнительной информации о jti см. RFC7519 .

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Установите значение false, если хотите, чтобы политика выдавала ошибку, если какая-либо указанная в политике переменная не может быть разрешена. Установите значение true, чтобы рассматривать любую неразрешимую переменную как пустую строку (null).

<Эмитент>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

Данная политика генерирует JWT, содержащий утверждение с именем iss, значение которого установлено на указанное значение. Утверждение, идентифицирующее эмитента JWT. Это одно из зарегистрированных утверждений, упомянутых в RFC7519 .

<Не раньше>

<!-- Specify an absolute time. -->
<NotBefore>2017-08-14T11:00:21-07:00</NotBefore>
 -or-
<!-- Specify a time relative to when the token is generated. -->
<NotBefore>6h</NotBefore>

Указывает время, когда токен становится действительным. Токен недействителен до указанного времени. Вы можете указать либо абсолютное значение времени, либо время относительно момента генерации токена.

Допустимые значения времени для элемента NotBefore (абсолютные значения времени)

Для относительных значений времени укажите целое число и временной период, например:

• 10-е
• 60 м
• 12 ч

<OutputVariable>

<OutputVariable>jwt-variable</OutputVariable>

Указывает, куда следует поместить JWT, сгенерированный данной политикой. По умолчанию он помещается в переменную потока jwt. POLICYNAME .generated_jwt .

<PrivateKey/Id>

<PrivateKey>
  <Id ref="flow-variable-name-here"/>
</PrivateKey>

or

<PrivateKey>
  <Id>your-id-value-here</Id>
</PrivateKey>

Указывает идентификатор ключа (kid), который следует включить в заголовок JWT. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<Закрытый ключ/Пароль>

<PrivateKey>
  <Password ref="private.privatekey-password"/>
</PrivateKey>

При необходимости укажите пароль, который политика должна использовать для расшифровки закрытого ключа. Используйте атрибут `ref` для передачи ключа в переменной потока. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<PrivateKey/Value>

<PrivateKey>
  <Value ref="private.variable-name-here"/>
</PrivateKey>

Указывает закрытый ключ в формате PEM, используемый для подписи JWT. Используйте атрибут ref для передачи ключа в переменной потока. Используйте только в том случае, если алгоритм является одним из RS256/RS384/RS512, PS256/PS384/PS512 или ES256/ES384/ES512.

<SecretKey/Id>

<SecretKey>
  <Id ref="flow-variable-name-here"/>
</SecretKey>

or

<SecretKey>
  <Id>your-id-value-here</Id>
</SecretKey>

Указывает идентификатор ключа (kid), который следует включить в заголовок JWT, подписанного с помощью алгоритма HMAC. Используйте только в том случае, если используется один из алгоритмов HS256/HS384/HS512.

<Секретный ключ/Значение>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

Предоставляет секретный ключ, используемый для проверки или подписи токенов с помощью алгоритма HMAC. Используйте только в том случае, если используется один из алгоритмов HS256/HS384/HS512. Используйте атрибут ref для передачи ключа в переменной потока.

Edge устанавливает минимальную стойкость ключа для алгоритмов HS256/HS384/HS512. Минимальная длина ключа для HS256 составляет 32 байта, для HS384 — 48 байт, а для HS512 — 64 байта. Использование ключа меньшей стойкости приводит к ошибке во время выполнения.

<Тема>

<Subject>subject-string-here</Subject>

<Subject ref="flow_variable" />

Например:

<Subject ref="apigee.developer.email"/>

Данная политика генерирует JWT, содержащий подпункт , установленный на указанное значение. Этот подпункт идентифицирует субъект JWT или делает заявление о нем. Это один из стандартных наборов подпунктов, упомянутых в RFC7519 .

Переменные потока

Политика Generate JWT не устанавливает переменные потока.

Ссылка на ошибку

В этом разделе описаны коды ошибок и сообщения об ошибках, которые возвращаются, а также переменные ошибок, которые устанавливаются Edge, когда эта политика вызывает ошибку. Эту информацию важно знать, если вы разрабатываете правила обработки ошибок. Дополнительные сведения см. в разделах Что нужно знать об ошибках политики и Обработка ошибок .

Ошибки выполнения

Эти ошибки могут возникнуть при выполнении политики.

Ошибки развертывания

Эти ошибки могут возникнуть при развертывании прокси-сервера, содержащего эту политику.

Переменные неисправности

Эти переменные устанавливаются при возникновении ошибки во время выполнения. Дополнительные сведения см. в разделе Что нужно знать об ошибках политики .

Пример ответа об ошибке

Для обработки ошибок лучше всего перехватывать часть errorcode в ответе на ошибку. Не полагайтесь на текст в faultstring , поскольку он может измениться.

Пример правила неисправности

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>