VerifyJWS ポリシー

概要

クライアントやその他のシステムから受信した JWS の署名を検証します。また、このポリシーはヘッダーをコンテキスト変数に抽出し、後続のポリシーまたは条件でそれらの値を調べて、認可やルーティングを決定できるようにします。詳しくは、JWS ポリシーと JWT ポリシーの概要をご覧ください。

JWS が検証済みで有効である場合、リクエストの処理続行が許可されます。JWS の署名を検証できない場合、またはなんらかの種類のエラーが原因で JWS が無効である場合、すべての処理が停止し、レスポンスでエラーが返されます。

JWS の構成要素およびその暗号化と署名の方法については、RFC7515 をご覧ください。

動画

JWS の署名を検証する方法についての短い動画をご覧ください。この動画は JWT の検証に関するものですが、コンセプトの多くは JWS でも同じです。

サンプル

• HS256 アルゴリズムで署名された添付済み JWS を検証する
• RS256 アルゴリズムで署名された分離済み JWS を検証する

HS256 アルゴリズムで署名された添付済み JWS を検証する

このポリシー サンプルでは、HS256 暗号化アルゴリズム（SHA-256 チェックサムを使用した HMAC）で署名された添付済み JWS を検証します。JWS は、JWS という名前のフォーム パラメータを使用してプロキシ リクエストで渡されます。鍵は private.secretkey という名前の変数に格納されます。

添付済み JWS には、エンコード済みのヘッダー、ペイロード、署名が含まれます。

header.payload.signature

ポリシーの構成には、JWS のデコード（復号）と評価に必要な情報を含めます。たとえば、JWS の場所（<Source> 要素に指定されたフロー変数内）、検証に必要な署名アルゴリズム、秘密鍵の場所（Edge フロー変数に保存され、Edge KVM などから取得可能）などの情報です。

<VerifyJWS name="JWS-Verify-HS256">
    <DisplayName>JWS Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
</VerifyJWS>

ポリシーは出力をコンテキスト変数に書き込み、後続のポリシーまたは API プロキシの条件でその値を調べられるようにします。このポリシーの変数のリストについては、フロー変数をご覧ください。

RS256 アルゴリズムで署名された分離済み JWS を検証する

このポリシー サンプルでは、RS256 アルゴリズムで署名された分離済み JWS を検証します。検証するには公開鍵を用意する必要があります。JWS は、JWS という名前のフォーム パラメータを使用してプロキシ リクエストで渡されます。公開鍵は public.publickey という名前の変数に含まれています。

分離済み JWS では JWS のペイロードが省略されます。

header..signature

ペイロードが含まれる変数名を <DetachedContent> 要素に指定して VerifyJWS ポリシーにペイロードを渡すかどうかは任意です。<DetachedContent> に指定するコンテンツは、JWS 署名が作成された時点におけるオリジナルのエンコードされていない形式にする必要があります。

<VerifyJWS name="JWS-Verify-RS256">
    <DisplayName>JWS Verify RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <DetachedContent>private.payload</DetachedContent>
</VerifyJWS>

ポリシーは出力をコンテキスト変数に書き込み、後続のポリシーまたは API プロキシの条件でその値を調べられるようにします。このポリシーの変数のリストについては、フロー変数をご覧ください。

鍵要素の設定

JWS の検証に使用する鍵を指定するための要素は、次の表に示すように、選択したアルゴリズムによって異なります。

<SecretKey>
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_ref_or_url"/>
</PublicKey>

要素リファレンス

このポリシー リファレンスでは、Verify JWS ポリシーの要素と属性について説明します。

注: 構成は使用する暗号化アルゴリズムにより異なります。特定のユースケースの構成例については、サンプルをご覧ください。

最上位の要素に適用される属性

<VerifyJWS name="JWS" continueOnError="false" enabled="true" async="false">

次の属性は、すべてのポリシーの親要素に共通です。

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

name 属性に加えて、管理 UI プロキシ エディタのポリシーに別の自然言語名でラベルを付けるために使います。

<Algorithm>

<Algorithm>HS256</Algorithm>

トークンに署名する暗号化アルゴリズムを指定します。RS*、PS*、ES* の各アルゴリズムでは公開鍵 / 秘密鍵ペアを使用し、HS* アルゴリズムでは共有シークレットを使用します。署名暗号化アルゴリズムについてもご覧ください。

複数の値をカンマで区切りながら指定できます。たとえば、「HS256, HS512」や「RS256, PS256」とします。ただし、HS* アルゴリズムとその他のアルゴリズム、または ES* アルゴリズムとその他のアルゴリズムを組み合わることはできません。必要な鍵の種類が異なるからです。RS* アルゴリズムと PS* アルゴリズムは組み合わせることができます。

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

指定された追加クレームの名前と値のペアが JWS ヘッダーに含まれていること、および表明されたクレーム値同士が一致することを検証します。

追加クレームには、標準 JWS クレーム名や登録済み JWS クレーム名以外の名前を使用します。追加クレームの値は、文字列、数値、ブール値、マッピング、または配列です。マッピングとは名前と値のペアのセットのことです。このタイプのクレーム値はポリシー構成で明示的に指定することも、フロー変数への参照を利用して間接的に指定することもできます。

<Claim> 要素には次の属性があります。

• name -（必須）クレームの名前。
• ref -（省略可）フロー変数の名前。設定された場合、ポリシーはこの変数の値をクレームとして使用します。ref 属性と明示的なクレーム値が両方指定された場合、明示的な値がデフォルトとなり、参照されたフロー変数が解決されない場合に使用されます。
• type -（省略可）文字列（デフォルト）、数値、ブール値、マッピングのいずれか
• array -（省略可）値が型の配列かどうかを示すには true に設定します（デフォルトは false）。

<DetachedContent>

<DetachedContent>variable-name-here</DetachedContent>

コンテンツ ペイロードとともに生成される JWS は、次の形式です。

header.payload.signature

GenerateJWS ポリシーを使用して分離済みペイロードを作成する場合、生成される JWS ではペイロードが省略されて、次の形式になります。

header..signature

分離済みペイロードの場合は、<DetachedContent> 要素を使用して VerifyJWS ポリシーにペイロードを渡すかどうかは任意です。指定するコンテンツ ペイロードは、JWS 署名が作成された時点におけるオリジナルのエンコードされていない形式にする必要があります。

次の場合、ポリシーはエラーを返します。

• <DetachedContent> が指定されていて、JWS に分離済みコンテンツ ペイロードが含まれていない（障害コードは steps.jws.ContentIsNotDetached）。
• <DetachedContent> が指定されておらず、JWS に分離済みコンテンツ ペイロードが含まれている（障害コードは steps.jws.InvalidSignature）。

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

false に設定すると、JWS の crit ヘッダーにリストされたヘッダーの中に、<KnownHeaders> 要素のリストにないものがあった場合に、ポリシーがエラーを返します。true に設定すると、VerifyJWS ポリシーで crit ヘッダーが無視されます。

この要素を true に設定する理由の 1 つとして、テスト環境においてヘッダーが存在しない場合にポリシーでエラーを発生させたくないという状況が考えられます。

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

false に設定すると、ポリシーで指定された参照値が解決できない場合にエラーを返します。true に設定すると、解決できない変数を空の文字列（null）として扱います。

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

GenerateJWS ポリシーは <CriticalHeaders> 要素を使用して、トークン内の crit ヘッダーに情報を入力します。例:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

VerifyJWS ポリシーは JWS で crit ヘッダーを調べ、存在する場合は、そこにリストされた各項目が <KnownHeaders> 要素にもリストされているかどうか確認します。<KnownHeaders> 要素は、crit にリストされた項目のスーパーセットを含むことができます。必要なことは、crit にリストされたすべてのヘッダーが <KnownHeaders> 要素にリストされていることです。ポリシーが crit で検出したヘッダーの中に <KnownHeaders> にリストされていないものがあると、VerifyJWS ポリシーは失敗します。

<IgnoreCriticalHeaders> 要素を true に設定することで、VerifyJWS ポリシーが crit ヘッダーを無視するよう構成することもできます。

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

公開鍵のセットを含む JWKS フォーマット（RFC 7517）の値を指定します。アルゴリズムが RS256 / RS384 / RS512、PS256 / PS384 / PS512、ES256 / ES384 / ES512 のいずれかの場合にのみ使用します。

受信 JWS が JWKS のセットに存在する鍵 ID を保持している場合、ポリシーは正しい公開鍵を使用して JWS 署名を検証します。この機能について詳しくは、JSON Web Key Set（JWKS）を使用した JWS の検証をご覧ください。

値を公開 URL から取得した場合、Edge は JWKS を 300 秒間キャッシュに保存します。キャッシュが期限切れになると、Edge は JWKS を再取得します。

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickey"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

JWS 上の署名を検証するために使用される公開鍵を指定します。ref 属性を使用して、公開鍵をフロー変数に渡すか、PEM でエンコードされた鍵を直接指定します。アルゴリズムが RS256 / RS384 / RS512、PS256 / PS384 / PS512、ES256 / ES384 / ES512 のいずれかの場合にのみ使用します。

<SecretKey/Value>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

HMAC アルゴリズムでトークンを検証するかトークンに署名するための秘密鍵です。アルゴリズムが HS256、HS384、HS512 のいずれかである場合にのみ使用します。ref 属性を使用して、鍵をフロー変数に渡します。

<Source>

<Source>JWS-variable</Source>

ポリシー構成に含める場合は、検証対象の JWS が存在すると予想されるフロー変数を指定します。

フロー変数

Verify JWS ポリシーと Decode JWS ポリシーは、成功すると、次のパターンに従ってコンテキスト変数を設定します。

jws.{policy_name}.{variable_name}

たとえば、ポリシー名が verify-jws の場合、ポリシーは JWS で指定されたアルゴリズムをコンテキスト変数 jws.verify-jws.header.algorithm に保存します。

エラー リファレンス

このセクションでは、このポリシーによってエラーがトリガーされたときに返される障害コードとエラー メッセージ、Edge によって設定される障害変数について説明します。これは、障害に対処する障害ルールを作成するうえで重要な情報です。詳細については、ポリシーエラーについて知っておくべきことと障害の処理をご覧ください。

ランタイム エラー

このエラーは、ポリシーの実行時に発生することがあります。

デプロイエラー

以下のエラーは、このポリシーを含むプロキシをデプロイするときに発生することがあります。

障害変数

ランタイム エラーが発生すると、次の変数が設定されます。詳細については、ポリシーエラーについて知っておくべきことをご覧ください。

エラー レスポンスの例

ベスト プラクティスとして、エラー処理でエラー レスポンスの errorcode の部分をトラップすることをおすすめします。faultstring のテキストには依存しないでください。この部分は変更される可能性があります。

障害ルールの例

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>