VerificationJWS politikası

Apigee Edge belgelerini görüntülüyorsunuz.
. Git: Apigee X belgeleri. bilgi

Ne?

İstemcilerden veya diğer sistemlerden alınan bir JWS'deki imzayı doğrular. Bu politika ayrıca sonraki politikaların veya koşulların inceleyebilmesi için başlıkları bağlam değişkenlerine çıkarır bu değerleri kullanarak yetkilendirme veya yönlendirme kararları verebilirsiniz. Ayrıntılı bilgi için JWS ve JWT politikalarına genel bakış sayfasına göz atın.

JWS doğrulanmış ve geçerliyse istek devam etmesine izin veriliyor. JWS imzası doğrulanamıyorsa veya JWS, imzası tüm işleme durur ve yanıtta bir hata döndürülür.

JWS'nin bölümleri ve bunların nasıl şifrelenip imzalandığı hakkında bilgi edinmek için şuraya bakın: RFC7515.

Video

JWS'de imzayı nasıl doğrulayacağınızı öğrenmek için kısa bir video izleyin. Bu video, JWT'nin doğrulanmasına özel olarak JWS'deki kavramların çoğu aynıdır.

Örnekler

• HS256 ile imzalanmış ekteki bir JWS'yi doğrulayın algoritma
• RS256 ile imzalanmış ayrılmış bir JWS'yi doğrulayın. algoritma

HS256 ile imzalanmış ekteki bir JWS'yi doğrulayın algoritma

Bu örnek politika, HS256 şifreleme algoritması HMAC ile imzalanmış ekli bir JWS'yi doğrular sağlayabilir. JWS, proxy isteğinde JWS Anahtar, private.secretkey adlı bir değişkende yer alır.

Ekli bir JWS, kodlanmış başlığı, yükü ve imzayı içerir:

header.payload.signature

Politika yapılandırması, Edge'in JWS'nin kodunu çözmesi ve değerlendirmesi için ihtiyaç duyduğu bilgileri içerir. Örneğin, JWS'nin nerede bulunacağı (<Source> öğesinde belirtilen bir akış değişkeninde) gizli anahtarın nerede bulunacağını (Edge akış değişkeninde saklanan bir Edge akış değişkeninde Edge KVM'den alınmıştır).

<VerifyJWS name="JWS-Verify-HS256">
    <DisplayName>JWS Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
</VerifyJWS>

Politika, çıktısını bağlam değişkenlerine yazar, böylece sonraki politikalar veya koşullar bu değerleri inceleyebilir. Ayrıntılı bilgi için Akış değişkenleri bu politika tarafından ayarlanan değişkenlerin listesini oluşturun.

RS256 ile imzalanmış ayrı bir JWS'yi doğrulayın algoritma

Bu örnek politika, RS256 algoritmasıyla imzalanmış ayrılmış bir JWS'yi doğrular. Doğrulamak için: ortak anahtarı sağlamanız gerekir. JWS, proxy isteğinde bir form parametresi kullanılarak iletilir JWS olarak adlandırıldı. Ortak anahtar, public.publickey adlı bir değişkende bulunur.

Çıkarılan JWS, yükü JWS'den çıkarır:

header..signature

Yükü içeren değişken adını <DetachedContent> öğesi. <DetachedContent> politikasında belirtilen içerik JWS imzasının oluşturulduğu orijinal kodlanmamış biçimde olması gerekir.

<VerifyJWS name="JWS-Verify-RS256">
    <DisplayName>JWS Verify RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <DetachedContent>private.payload</DetachedContent>
</VerifyJWS>

Politika, çıktısını bağlam değişkenlerine yazar, böylece sonraki politikalar veya koşullar bu değerleri inceleyebilir. Ayrıntılı bilgi için Akış değişkenleri bu politika tarafından ayarlanan değişkenlerin listesini oluşturun.

Temel öğeleri ayarlama

JWS'yi doğrulamak için kullanılan anahtarı belirtmek için kullandığınız öğeler, seçilen algoritmaya bağlı olarak değişir. aşağıdaki tabloda gösterildiği gibi):

<SecretKey>
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_ref_or_url"/>
</PublicKey>

Öğe referansı

Politika referansında, JWS'yi Doğrulama politikasının öğelerini ve özellikleri açıklanmaktadır.

Not: Yapılandırma, şifrelemeye bağlı olarak biraz farklılık gösterir. belirlemektir. Aşağıdaki örnekler için Örnekler'e bakın: yapılandırmalarına yardımcı olur.

Proje hedefini üst düzey öğe

<VerifyJWS name="JWS" continueOnError="false" enabled="true" async="false">

Aşağıdaki özellikler tüm politika üst öğeleri için ortaktır.

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Yönetim kullanıcı arayüzü proxy düzenleyicisinde politikayı etiketlemek için ad özelliğine ek olarak kullanın doğal bir dille değiştirin.

<Algorithm>

<Algorithm>HS256</Algorithm>

Jetonu imzalamak için kullanılacak şifreleme algoritmasını belirtir. RS*/PS*/ES* algoritmaları bir ortak/gizli anahtar çifti kullanır, HS* algoritmaları ortak bir sır kullanır. Şu kaynakları da inceleyin: İmza şifreleme algoritmaları hakkında.

Virgülle ayırarak birden çok değer belirtebilirsiniz. Örneğin "HS256, HS512" veya "RS256, PS256". Ancak, HS* algoritmalarını diğer algoritmalarla veya ES* algoritmalarını başka algoritmalarla birleştiremezsiniz, çünkü belirli bir anahtar türü gerektirir. RS* ve PS* algoritmalarını birleştirebilirsiniz.

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

JWS başlığının belirtilen ek talep adı/değer çiftlerini içerdiğini ve bildirilen hak talebi değerlerinin eşleştiğini doğrular.

Ek hak taleplerinde, standart ve kayıtlı JWS hak talebi adlarından biri olmayan bir ad kullanılır. Ek bir talebin değeri bir dize, sayı, boole, harita veya dizi olabilir. Harita bir ad/değer çiftleri kümesidir. Bu türlerin herhangi birindeki bir hak talebinin değeri belirtilebilir doğrudan politika yapılandırmasında veya bir akış değişkenine referans vererek dolaylı şekilde değiştirebilirsiniz.

<Claim> öğesi şu özellikleri alır:

• name - (Zorunlu) Hak talebinin adı.
• ref - (İsteğe bağlı) Bir akış değişkeninin adı. Varsa politika, değişkeninin hak talebi olarak kabul edildiğini gösterir. Hem bir ref özelliği hem de açık bir hak talebi değeri belirtilirse açık değer varsayılan değerdir ve başvurulan akış değişkeni çözümlenmemişse kullanılır.
• type - (İsteğe bağlı) Şunlardan biri: dize (varsayılan), sayı, boole veya harita
• dizi - (İsteğe bağlı) Değerin bir tür dizisi olup olmadığını belirtmek için true olarak ayarlayın. Varsayılan: false (yanlış) değerini alır.

<DetachedContent>

<DetachedContent>variable-name-here</DetachedContent>

İçerik yükü olan, oluşturulmuş bir JWS şu biçimdedir:

header.payload.signature

Ayrılmış yük oluşturmak için GenerateJWS politikasını kullanırsanız oluşturulan JWS, yükü atlar ve şu biçimde olmalıdır:

header..signature

Ayrı bir yük için, <DetachedContent> öğesi. Belirtilen içerik yükü JWS imzasının oluşturulduğu orijinal kodlanmamış biçimde olması gerekir.

Politika aşağıdaki durumlarda hata verir:

• JWS'de ayrılmış içerik olmadığında <DetachedContent> belirtilir yük (hata kodu: steps.jws.ContentIsNotDetached).
• <DetachedContent> atlandı ve JWS'nin ayrılmış içerik yükü var (hata kodu: steps.jws.InvalidSignature).

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

JWS'nin crit üstbilgisi, <KnownHeaders> öğesinde listelenmiyor. VerifyJWS politikasının crit başlığını yoksaymasına neden olmak için değeri true olarak ayarlayın.

Bu öğeyi true (doğru) değerine ayarlamanın nedenlerinden biri, test ortamında politikanın başarısız olmasını istemezsiniz.

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Başvurulan herhangi bir değişken belirtildiğinde politikanın hata vermesini istiyorsanız false (yanlış) değerine ayarlayın çözülemez. Çözümlenemeyen değişkenleri boş dize olarak ele almak için doğru değerine ayarlanır (boş).

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

GenerateJWS politikası,<CriticalHeaders> crit üstbilgisini ekleyin. Örneğin:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

VerifyJWS politikası, JWS'deki crit üstbilgisini (varsa ve listelenen her öğe için) inceler. <KnownHeaders> öğesinin bu başlığı da listeleyip listelemediğini kontrol eder. İlgili içeriği oluşturmak için kullanılan <KnownHeaders> öğesi, crit'te listelenen öğelerin üst kümesini içerebilir. crit'te listelenen tüm başlıkların <KnownHeaders> öğesi. Politikanın crit'te bulduğu herhangi bir başlık aynı zamanda <KnownHeaders> içinde de listelenmeyen bir uzantı, VerifyJWS politikasının başarısız olmasına neden olur.

İsterseniz VerifyJWS politikasını, crit başlığını yoksayacak şekilde yapılandırabilirsiniz. <IgnoreCriticalHeaders> öğesi true olarak ayarlanıyor.

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Bir değeri JWKS biçiminde (RFC 7517) belirtir içeren bir dizi ortak anahtar içerir. Yalnızca algoritma RS256/RS384/RS512 değerlerinden biri olduğunda kullanın. PS256/PS384/PS512 veya ES256/ES384/ES512.

Gelen JWS, JWKS alırsa politika, JWS imzasını doğrulamak için doğru ortak anahtarı kullanır. Ayrıntılı bilgi bkz. JWS'yi doğrulamak için JSON Web Anahtarı Seti (JWKS) kullanma.

Değeri herkese açık bir URL'den getirirseniz Edge, JWKS'yi 300 saniyelik bir süre boyunca önbelleğe alır. Önbelleğin süresi dolduğunda Edge, JWKS'yi tekrar getirir.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickey"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

JWS'de imzayı doğrulamak için kullanılan ortak anahtarı belirtir. Şunlar için ref özelliğini kullanın: anahtarı bir akış değişkeninde geçirin veya PEM kodlu anahtarı doğrudan belirtin. Yalnızca RS256/RS384/RS512, PS256/PS384/PS512 veya ES256/ES384/ES512 olabilir.

<SecretKey/Value>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

HMAC algoritmasıyla jetonları doğrulamak veya imzalamak için kullanılan gizli anahtarı sağlar. Yalnızca kullanım olması gerekir. ref özelliğini kullanın anahtarı bir akış değişkeninde geçirecek.

<Source>

<Source>JWS-variable</Source>

Varsa politikanın JWS'yi bulmayı beklediği akış değişkenini belirtir. doğrulayın.

Akış değişkenleri

Başarı üzerine kurulan JWS'yi Doğrulama ve JWS'nin Kodunu Çöz politikaları, bağlam değişkenlerini görürsünüz:

jws.{policy_name}.{variable_name}

Örneğin, politika adı verify-jws ise politika, JWS'de belirtilen algoritmayı kullanın: jws.verify-jws.header.algorithm

Hata referansı

Bu bölümde, bu politika bir hatayı tetiklediğinde Edge tarafından ayarlanan hata kodları ile hata mesajları ve döndürülen hata mesajları ile Edge tarafından ayarlanan hata değişkenleri açıklanmaktadır. Bu bilgiyi, hataları ele almak için hata kuralları geliştirip geliştirmediğinizi bilmeniz önemlidir. Daha fazla bilgi için Politika hataları hakkında bilmeniz gerekenler ve Hataları işleme bölümlerine bakın.

Çalışma zamanı hataları

Politika yürütüldüğünde bu hatalar ortaya çıkabilir.

Dağıtım hataları

Bu hatalar, bu politikayı içeren bir proxy dağıttığınızda ortaya çıkabilir.

Hata değişkenleri

Bu değişkenler, çalışma zamanı hatası oluştuğunda ayarlanır. Daha fazla bilgi için Bilmeniz gerekenler hakkında daha fazla bilgi edinin.

Örnek hata yanıtı

Hata giderme için en iyi uygulama, hatanın errorcode kısmını yakalamaktır tıklayın. Değişebileceği için faultstring içindeki metne güvenmeyin.

Örnek hata kuralı

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>