JWS নীতি যাচাই করুন

আপনি Apigee Edge ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশনে যান । তথ্য

কি

ক্লায়েন্ট বা অন্যান্য সিস্টেম থেকে প্রাপ্ত JWS-এ স্বাক্ষর যাচাই করে। এই নীতিটি প্রসঙ্গ ভেরিয়েবলের মধ্যে শিরোনামও বের করে যাতে পরবর্তী নীতি বা শর্তগুলি অনুমোদন বা রাউটিং সিদ্ধান্ত নেওয়ার জন্য সেই মানগুলি পরীক্ষা করতে পারে। বিস্তারিত ভূমিকার জন্য JWS এবং JWT নীতি ওভারভিউ দেখুন।

যদি JWS যাচাই করা হয় এবং বৈধ হয়, তাহলে অনুরোধটি এগিয়ে যাওয়ার অনুমতি দেওয়া হয়। যদি JWS স্বাক্ষর যাচাই করা না যায় বা যদি JWS কিছু ত্রুটির কারণে অবৈধ হয়, সমস্ত প্রক্রিয়াকরণ বন্ধ হয়ে যায় এবং প্রতিক্রিয়াতে একটি ত্রুটি ফিরে আসে।

একটি JWS-এর অংশগুলি এবং কীভাবে সেগুলি এনক্রিপ্ট করা এবং স্বাক্ষর করা হয় সে সম্পর্কে জানতে, RFC7515 পড়ুন।

ভিডিও

একটি JWS-এ স্বাক্ষর যাচাই করতে শিখতে একটি ছোট ভিডিও দেখুন। যদিও এই ভিডিওটি একটি JWT যাচাই করার জন্য নির্দিষ্ট, তবে অনেক ধারণা JWS-এর জন্য একই।

নমুনা

• HS256 অ্যালগরিদমের সাথে স্বাক্ষরিত একটি সংযুক্ত JWS যাচাই করুন
• RS256 অ্যালগরিদমের সাথে স্বাক্ষরিত একটি বিচ্ছিন্ন JWS যাচাই করুন

HS256 অ্যালগরিদমের সাথে স্বাক্ষরিত একটি সংযুক্ত JWS যাচাই করুন

এই উদাহরণ নীতিটি একটি সংযুক্ত JWS যাচাই করে যা HS256 এনক্রিপশন অ্যালগরিদম, HMAC এর সাথে একটি SHA-256 চেকসাম ব্যবহার করে স্বাক্ষরিত হয়েছিল। JWS নামের একটি ফর্ম প্যারামিটার ব্যবহার করে প্রক্সি অনুরোধে JWS পাস করা হয়। কীটি private.secretkey নামের একটি ভেরিয়েবলের মধ্যে রয়েছে।

একটি সংযুক্ত JWS-এ এনকোডেড হেডার, পেলোড এবং স্বাক্ষর রয়েছে:

header.payload.signature

নীতি কনফিগারেশনে JWS-কে ডিকোড এবং মূল্যায়ন করার জন্য Edge-এর প্রয়োজনীয় তথ্যগুলি অন্তর্ভুক্ত করে, যেমন JWS ( <Source> এলিমেন্টে নির্দিষ্ট একটি ফ্লো ভেরিয়েবলে), প্রয়োজনীয় সাইনিং অ্যালগরিদম এবং গোপন কীটি কোথায় খুঁজে পাওয়া যায় (সঞ্চিত একটি এজ ফ্লো ভেরিয়েবলের মধ্যে, যা এজ কেভিএম থেকে পুনরুদ্ধার করা যেতে পারে, উদাহরণস্বরূপ)।

<VerifyJWS name="JWS-Verify-HS256">
    <DisplayName>JWS Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
</VerifyJWS>

নীতিটি প্রসঙ্গ ভেরিয়েবলে তার আউটপুট লেখে যাতে API প্রক্সিতে পরবর্তী নীতি বা শর্তগুলি সেই মানগুলি পরীক্ষা করতে পারে৷ এই নীতি দ্বারা সেট করা ভেরিয়েবলের তালিকার জন্য ফ্লো ভেরিয়েবল দেখুন।

RS256 অ্যালগরিদমের সাথে স্বাক্ষরিত একটি বিচ্ছিন্ন JWS যাচাই করুন

এই উদাহরণ নীতিটি একটি বিচ্ছিন্ন JWS যাচাই করে যা RS256 অ্যালগরিদমের সাথে স্বাক্ষরিত হয়েছিল। যাচাই করতে, আপনাকে সর্বজনীন কী প্রদান করতে হবে। JWS নামের একটি ফর্ম প্যারামিটার ব্যবহার করে প্রক্সি অনুরোধে JWS পাস করা হয়। পাবলিক কীটি public.publickey নামের একটি ভেরিয়েবলের মধ্যে রয়েছে।

একটি বিচ্ছিন্ন JWS JWS থেকে পেলোড বাদ দেয়:

header..signature

<DetachedContent> এলিমেন্টে পেলোড সহ ভেরিয়েবল নাম উল্লেখ করে ভেরিফাইজেডব্লিউএস নীতিতে পেলোড পাস করা আপনার উপর নির্ভর করে। <DetachedContent> -এ নির্দিষ্ট বিষয়বস্তু অবশ্যই আসল আনকোড করা ফর্মে হতে হবে যখন JWS স্বাক্ষর তৈরি করা হয়েছিল।

<VerifyJWS name="JWS-Verify-RS256">
    <DisplayName>JWS Verify RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <DetachedContent>private.payload</DetachedContent>
</VerifyJWS>

নীতিটি প্রসঙ্গ ভেরিয়েবলে তার আউটপুট লেখে যাতে API প্রক্সিতে পরবর্তী নীতি বা শর্তগুলি সেই মানগুলি পরীক্ষা করতে পারে৷ এই নীতি দ্বারা সেট করা ভেরিয়েবলের তালিকার জন্য ফ্লো ভেরিয়েবল দেখুন।

মূল উপাদান সেট করা

আপনি JWS যাচাই করতে ব্যবহৃত কী নির্দিষ্ট করতে যে উপাদানগুলি ব্যবহার করেন তা নির্বাচিত অ্যালগরিদমের উপর নির্ভর করে, যেমনটি নিম্নলিখিত টেবিলে দেখানো হয়েছে:

<SecretKey>
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_ref_or_url"/>
</PublicKey>

উপাদান রেফারেন্স

নীতির রেফারেন্স JWS যাচাইকরণ নীতির উপাদান এবং বৈশিষ্ট্য বর্ণনা করে।

দ্রষ্টব্য: আপনি যে এনক্রিপশন অ্যালগরিদম ব্যবহার করেন তার উপর নির্ভর করে কনফিগারেশন কিছুটা আলাদা হবে। নির্দিষ্ট ব্যবহারের ক্ষেত্রে কনফিগারেশন প্রদর্শন করে এমন উদাহরণগুলির জন্য নমুনাগুলি পড়ুন।

উচ্চ-স্তরের উপাদানে প্রযোজ্য বৈশিষ্ট্য

<VerifyJWS name="JWS" continueOnError="false" enabled="true" async="false">

নিম্নলিখিত বৈশিষ্ট্যগুলি সমস্ত নীতির মূল উপাদানগুলির জন্য সাধারণ৷

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

ম্যানেজমেন্ট UI প্রক্সি এডিটরে নীতিটিকে একটি ভিন্ন, প্রাকৃতিক-ভাষা নামের সাথে লেবেল করতে নামের বৈশিষ্ট্য ছাড়াও ব্যবহার করুন।

<অ্যালগরিদম>

<Algorithm>HS256</Algorithm>

টোকেন সাইন ইন করতে এনক্রিপশন অ্যালগরিদম নির্দিষ্ট করে। RS*/PS*/ES* অ্যালগরিদমগুলি একটি পাবলিক/সিক্রেট কী জোড়া নিযুক্ত করে, যখন HS* অ্যালগরিদমগুলি একটি শেয়ার্ড সিক্রেট নিয়োগ করে৷ স্বাক্ষর এনক্রিপশন অ্যালগরিদম সম্পর্কে আরও দেখুন।

আপনি কমা দ্বারা পৃথক করা একাধিক মান নির্দিষ্ট করতে পারেন। যেমন "HS256, HS512" বা "RS256, PS256"। যাইহোক, আপনি HS* অ্যালগরিদমগুলিকে অন্যদের সাথে বা ES* অ্যালগরিদমগুলিকে অন্যদের সাথে একত্রিত করতে পারবেন না কারণ তাদের একটি নির্দিষ্ট কী ধরণের প্রয়োজন৷ আপনি RS* এবং PS* অ্যালগরিদম একত্রিত করতে পারেন।

<অতিরিক্ত শিরোনাম/দাবি>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

যাচাই করে যে JWS হেডারে নির্দিষ্ট অতিরিক্ত দাবির নাম/মূল্যের জোড়া(গুলি) রয়েছে এবং দাবি করা মানগুলি মিলে যায়।

একটি অতিরিক্ত দাবি এমন একটি নাম ব্যবহার করে যা স্ট্যান্ডার্ড, নিবন্ধিত JWS দাবির নামগুলির মধ্যে একটি নয়। একটি অতিরিক্ত দাবির মান একটি স্ট্রিং, একটি সংখ্যা, একটি বুলিয়ান, একটি মানচিত্র বা একটি অ্যারে হতে পারে। একটি মানচিত্র হল নাম/মান জোড়ার একটি সেট। এই ধরনের যেকোনো একটি দাবির মান নীতি কনফিগারেশনে স্পষ্টভাবে বা পরোক্ষভাবে একটি ফ্লো ভেরিয়েবলের রেফারেন্সের মাধ্যমে নির্দিষ্ট করা যেতে পারে।

<Claim> উপাদানটি এই বৈশিষ্ট্যগুলি গ্রহণ করে:

• নাম - (প্রয়োজনীয়) দাবির নাম।
• ref - (ঐচ্ছিক) একটি ফ্লো ভেরিয়েবলের নাম। উপস্থিত থাকলে, নীতি দাবি হিসাবে এই ভেরিয়েবলের মান ব্যবহার করবে। যদি একটি রেফ অ্যাট্রিবিউট এবং একটি স্পষ্ট দাবি মান উভয়ই নির্দিষ্ট করা থাকে, তাহলে স্পষ্ট মানটি ডিফল্ট, এবং যদি উল্লেখিত ফ্লো ভেরিয়েবল অমীমাংসিত হয় তাহলে ব্যবহার করা হয়।
• প্রকার - (ঐচ্ছিক) এর মধ্যে একটি: স্ট্রিং (ডিফল্ট), সংখ্যা, বুলিয়ান বা মানচিত্র
• অ্যারে - (ঐচ্ছিক) মানটি ধরনগুলির একটি অ্যারে কিনা তা নির্দেশ করতে সত্যে সেট করুন। ডিফল্ট: মিথ্যা।

<বিচ্ছিন্ন বিষয়বস্তু>

<DetachedContent>variable-name-here</DetachedContent>

একটি কন্টেন্ট পেলোড সহ একটি জেনারেট করা JWS ফর্মটিতে রয়েছে:

header.payload.signature

আপনি যদি বিচ্ছিন্ন পেলোড তৈরি করতে জেনারেটজেডব্লিউএস নীতি ব্যবহার করেন, তাহলে জেনারেট করা জেডব্লিউএস পেলোড বাদ দেয় এবং ফর্মে থাকে:

header..signature

একটি বিচ্ছিন্ন পেলোডের জন্য, <DetachedContent> উপাদান ব্যবহার করে VerifyJWS নীতিতে পেলোড পাস করা আপনার উপর নির্ভর করে। নির্দিষ্ট কন্টেন্ট পেলোড অবশ্যই আসল আনকোডেড ফর্মে হতে হবে যখন JWS স্বাক্ষর তৈরি করা হয়েছিল।

নীতি একটি ত্রুটি নিক্ষেপ করে যখন:

• <DetachedContent> নির্দিষ্ট করা হয় যখন JWS-এ একটি বিচ্ছিন্ন কন্টেন্ট পেলোড থাকে না (ফল্ট কোড হল steps.jws.ContentIsNotDetached )।
• <DetachedContent> বাদ দেওয়া হয়েছে এবং JWS-এর একটি বিচ্ছিন্ন কন্টেন্ট পেলোড রয়েছে (ফল্ট কোড হল steps.jws.InvalidSignature )।

<CriticalHeaders> উপেক্ষা করুন

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

JWS-এর ক্রিট হেডারে তালিকাভুক্ত যেকোন হেডার <KnownHeaders> এলিমেন্টে তালিকাভুক্ত না থাকলে আপনি যদি নীতিটি ত্রুটি ছুঁড়তে চান তাহলে মিথ্যাতে সেট করুন। VerifyJWS পলিসি ক্রিট হেডার উপেক্ষা করার জন্য সত্যে সেট করুন।

এই উপাদানটিকে সত্য হিসাবে সেট করার একটি কারণ হল আপনি যদি একটি পরীক্ষার পরিবেশে থাকেন এবং আপনি একটি অনুপস্থিত হেডারের কারণে নীতিটি ব্যর্থ করতে চান না।

<অমীমাংসিত ভেরিয়েবলগুলিকে উপেক্ষা করুন>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

পলিসিতে উল্লেখ করা যেকোন রেফারেন্স ভেরিয়েবল অমীমাংসিত হলে আপনি যদি নীতিটি একটি ত্রুটি ছুঁড়তে চান তাহলে মিথ্যাতে সেট করুন৷ কোনো অমীমাংসিত ভেরিয়েবলকে খালি স্ট্রিং (নাল) হিসাবে বিবেচনা করার জন্য সত্যে সেট করুন।

<জানা শিরোনাম>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

জেনারেটজেডব্লিউএস নীতি একটি টোকেনে ক্রিট শিরোনাম পূরণ করতে <CriticalHeaders> উপাদান ব্যবহার করে। যেমন:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

VerifyJWS নীতি JWS-এ ক্রিট হেডার পরীক্ষা করে, যদি এটি বিদ্যমান থাকে, এবং তালিকাভুক্ত প্রতিটি আইটেমের জন্য এটি চেক করে যে <KnownHeaders> উপাদানটিও সেই শিরোনামটি তালিকাভুক্ত করে। <KnownHeaders> উপাদানটিতে crit- এ তালিকাভুক্ত আইটেমগুলির একটি সুপারসেট থাকতে পারে। ক্রিটে তালিকাভুক্ত সমস্ত শিরোনাম <KnownHeaders> এলিমেন্টে তালিকাভুক্ত করা প্রয়োজন। যে কোনো শিরোনাম যা নীতির সমালোচনায় পাওয়া যায় যেটি <KnownHeaders> -এও তালিকাভুক্ত নয়, তার ফলে VerifyJWS নীতি ব্যর্থ হয়।

আপনি <IgnoreCriticalHeaders> উপাদানটিকে true সেট করে ক্রিট শিরোনাম উপেক্ষা করতে VerifyJWS নীতিটি ঐচ্ছিকভাবে কনফিগার করতে পারেন।

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

JWKS বিন্যাসে একটি মান নির্দিষ্ট করে ( RFC 7517 ) যেখানে পাবলিক কীগুলির একটি সেট রয়েছে। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়৷

যদি ইনবাউন্ড JWS-এ একটি কী আইডি থাকে যা JWKS-এর সেটে উপস্থিত থাকে, তাহলে নীতি JWS স্বাক্ষর যাচাই করতে সঠিক পাবলিক কী ব্যবহার করবে। এই বৈশিষ্ট্য সম্পর্কে বিস্তারিত জানার জন্য, একটি JWS যাচাই করতে একটি JSON ওয়েব কী সেট (JWKS) ব্যবহার করা দেখুন।

যদি আপনি একটি সর্বজনীন URL থেকে মান আনেন, এজ 300 সেকেন্ডের জন্য JWKS কে ক্যাশ করে। ক্যাশের মেয়াদ শেষ হয়ে গেলে, এজ আবার JWKS নিয়ে আসে।

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickey"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

JWS-এ স্বাক্ষর যাচাই করতে ব্যবহৃত পাবলিক কী নির্দিষ্ট করে। একটি ফ্লো ভেরিয়েবলে কী পাস করতে রেফ অ্যাট্রিবিউট ব্যবহার করুন, অথবা সরাসরি PEM-এনকোডেড কী নির্দিষ্ট করুন। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়৷

<গোপন কী/মান>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

একটি HMAC অ্যালগরিদম দিয়ে টোকেন যাচাই বা স্বাক্ষর করতে ব্যবহৃত গোপন কী প্রদান করে। অ্যালগরিদম HS256, HS384, HS512-এর মধ্যে একটি হলেই ব্যবহার করুন। একটি ফ্লো ভেরিয়েবলে কী পাস করতে রেফ অ্যাট্রিবিউট ব্যবহার করুন।

<উৎস>

<Source>JWS-variable</Source>

যদি উপস্থিত থাকে, তাহলে ফ্লো ভেরিয়েবল নির্দিষ্ট করে যেখানে পলিসিটি যাচাই করার জন্য JWS খুঁজে পাওয়ার আশা করে।

ফ্লো ভেরিয়েবল

সফল হলে, JWS যাচাই করুন এবং JWS ডিকোড নীতিগুলি এই প্যাটার্ন অনুযায়ী প্রসঙ্গ ভেরিয়েবল সেট করে:

jws.{policy_name}.{variable_name}

উদাহরণ স্বরূপ, যদি পলিসির নাম verify-jws হয়, তাহলে পলিসি JWS-এ উল্লেখিত অ্যালগরিদমকে এই কনটেক্সট ভেরিয়েবলে সংরক্ষণ করবে: jws.verify-jws.header.algorithm

ত্রুটি উল্লেখ

এই বিভাগটি ফল্ট কোড এবং ত্রুটির বার্তাগুলি বর্ণনা করে যেগুলি ফেরত দেওয়া হয় এবং ত্রুটি ভেরিয়েবলগুলি যেগুলি এজ দ্বারা সেট করা হয় যখন এই নীতিটি একটি ত্রুটি ট্রিগার করে৷ এই তথ্যটি জানা গুরুত্বপূর্ণ যে আপনি ত্রুটিগুলি পরিচালনা করার জন্য ত্রুটির নিয়ম তৈরি করছেন কিনা। আরও জানতে, নীতিগত ত্রুটি এবং হ্যান্ডলিং ফল্ট সম্পর্কে আপনার যা জানা দরকার তা দেখুন৷

রানটাইম ত্রুটি

নীতি কার্যকর করার সময় এই ত্রুটিগুলি ঘটতে পারে৷

স্থাপনার ত্রুটি

আপনি যখন এই নীতি সম্বলিত একটি প্রক্সি স্থাপন করেন তখন এই ত্রুটিগুলি ঘটতে পারে৷

ফল্ট ভেরিয়েবল

রানটাইম ত্রুটি ঘটলে এই ভেরিয়েবলগুলি সেট করা হয়। আরও তথ্যের জন্য, নীতি ত্রুটি সম্পর্কে আপনার যা জানা দরকার তা দেখুন।

উদাহরণ ত্রুটি প্রতিক্রিয়া

ত্রুটি পরিচালনার জন্য, সর্বোত্তম অনুশীলন হল ত্রুটি প্রতিক্রিয়ার errorcode অংশটি আটকে রাখা। faultstring -এ লেখার উপর নির্ভর করবেন না, কারণ এটি পরিবর্তন হতে পারে।

উদাহরণ দোষ নিয়ম

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>