Chính sách Xác minh JWT

Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào tài liệu Apigee X. thông tin

Nội dung

Xác minh chữ ký trên JWT nhận được từ các ứng dụng hoặc hệ thống khác. Chính sách này cũng trích xuất các khai báo thành các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo có thể kiểm tra các giá trị đó để đưa ra quyết định uỷ quyền hoặc định tuyến. Hãy xem bài viết Tổng quan về chính sách JWS và JWT để biết thông tin giới thiệu chi tiết.

Khi chính sách này thực thi, Edge sẽ xác minh chữ ký của JWT và xác minh rằng JWT hợp lệ theo thời gian hết hạn và thời gian không được phép trước đó nếu có. Chính sách này cũng có thể xác minh các giá trị của các khai báo cụ thể trên JWT (không bắt buộc), chẳng hạn như chủ đề, tổ chức phát hành, đối tượng hoặc giá trị của các khai báo bổ sung.

Nếu JWT được xác minh và hợp lệ, thì tất cả các xác nhận quyền sở hữu có trong JWT sẽ được trích xuất vào các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo sử dụng và yêu cầu được phép tiếp tục. Nếu không xác minh được chữ ký JWT hoặc nếu JWT không hợp lệ do một trong các dấu thời gian, thì mọi quy trình xử lý sẽ dừng lại và một lỗi sẽ được trả về trong phản hồi.

Để tìm hiểu về các phần của JWT và cách mã hoá cũng như ký các phần đó, hãy tham khảo RFC7519.

Video

Xem một video ngắn để tìm hiểu cách xác minh chữ ký trên JWT.

Mẫu

• Xác minh JWT được ký bằng thuật toán HS256
• Xác minh JWT được ký bằng thuật toán RS256

Xác minh JWT được ký bằng thuật toán HS256

Chính sách mẫu này xác minh một JWT được ký bằng thuật toán mã hoá HS256, HMAC bằng tổng kiểm tra SHA-256. JWT được truyền trong yêu cầu proxy bằng cách sử dụng một tham số biểu mẫu có tên là jwt. Khoá này nằm trong một biến có tên là private.secretkey. Hãy xem video ở trên để biết ví dụ đầy đủ, bao gồm cả cách đưa ra yêu cầu đối với chính sách.

Cấu hình chính sách bao gồm thông tin mà Edge cần để giải mã và đánh giá JWT, chẳng hạn như vị trí tìm JWT (trong một biến luồng được chỉ định trong phần tử Nguồn), thuật toán ký bắt buộc, vị trí tìm khoá bí mật (được lưu trữ trong một biến luồng Edge, có thể đã được truy xuất từ Edge KVM, chẳng hạn), và một tập hợp các khai báo bắt buộc và giá trị của chúng.

<VerifyJWT name="JWT-Verify-HS256">
    <DisplayName>JWT Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey encoding="base64">
        <Value ref="private.secretkey"/>
    </SecretKey>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
</VerifyJWT>

Chính sách này ghi đầu ra vào các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo trong proxy API có thể kiểm tra những giá trị đó. Hãy xem phần Biến luồng để biết danh sách các biến do chính sách này đặt.

Xác minh JWT được ký bằng thuật toán RS256

Chính sách mẫu này xác minh một JWT được ký bằng thuật toán RS256. Để xác minh, bạn cần cung cấp khoá công khai. JWT được truyền trong yêu cầu proxy bằng cách sử dụng một tham số biểu mẫu có tên là jwt. Khoá công khai nằm trong một biến có tên là public.publickey. Hãy xem video ở trên để biết ví dụ đầy đủ, bao gồm cả cách đưa ra yêu cầu đối với chính sách.

Hãy xem phần Tài liệu tham khảo về phần tử để biết thông tin chi tiết về các yêu cầu và lựa chọn cho từng phần tử trong chính sách mẫu này.

<VerifyJWT name="JWT-Verify-RS256">
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>    
    </AdditionalClaims>
</VerifyJWT>

Đối với cấu hình ở trên, một JWT có tiêu đề này …

{
  "typ" : "JWT", 
  "alg" : "RS256"
}

Và tải trọng này…

{ 
  "sub" : "apigee-seattle-hatrack-montage",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

… sẽ được coi là hợp lệ nếu chữ ký có thể được xác minh bằng khoá công khai đã cung cấp.

Một JWT có cùng tiêu đề nhưng có phần dữ liệu thực tế này …

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

… sẽ được xác định là không hợp lệ, ngay cả khi chữ ký có thể được xác minh, vì yêu cầu "sub" có trong JWT không khớp với giá trị bắt buộc của phần tử "Subject" như được chỉ định trong cấu hình chính sách.

Chính sách này ghi đầu ra vào các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo trong proxy API có thể kiểm tra những giá trị đó. Hãy xem phần Biến luồng để biết danh sách các biến do chính sách này đặt.

Thiết lập các phần tử chính

Các phần tử mà bạn dùng để chỉ định khoá dùng để xác minh JWT phụ thuộc vào thuật toán đã chọn, như minh hoạ trong bảng sau:

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key_or_value"/>
</PublicKey>

<PublicKey>
  <Certificate ref="signed_cert_val_ref"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_or_ref"/>
</PublicKey>

Tài liệu tham khảo về phần tử

Tài liệu tham khảo về chính sách này mô tả các phần tử và thuộc tính của chính sách Xác minh JWT.

Lưu ý: Cấu hình sẽ khác nhau đôi chút tuỳ thuộc vào thuật toán mã hoá mà bạn sử dụng. Hãy tham khảo phần Mẫu để xem các ví dụ minh hoạ cấu hình cho những trường hợp sử dụng cụ thể.

Các thuộc tính áp dụng cho phần tử cấp cao nhất

<VerifyJWT name="JWT" continueOnError="false" enabled="true" async="false">

Các thuộc tính sau đây là thuộc tính chung của tất cả các phần tử chính của chính sách.

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Sử dụng cùng với thuộc tính name để gắn nhãn chính sách trong trình chỉnh sửa proxy giao diện người dùng quản lý bằng một tên khác bằng ngôn ngữ tự nhiên.

<Algorithm>

<Algorithm>HS256</Algorithm>

Chỉ định thuật toán mã hoá để ký mã thông báo. Các thuật toán RS*/PS*/ES* sử dụng một cặp khoá công khai/bí mật, trong khi các thuật toán HS* sử dụng một khoá bí mật dùng chung. Xem thêm bài viết Giới thiệu về các thuật toán mã hoá chữ ký.

Bạn có thể chỉ định nhiều giá trị được phân tách bằng dấu phẩy. Ví dụ: "HS256, HS512" hoặc "RS256, PS256". Tuy nhiên, bạn không thể kết hợp các thuật toán HS* với bất kỳ thuật toán nào khác hoặc các thuật toán ES* với bất kỳ thuật toán nào khác vì chúng yêu cầu một loại khoá cụ thể. Bạn có thể kết hợp các thuật toán RS* và PS*.

<Audience>

<Audience>audience-here</Audience>

or:

<Audience ref='variable-name-here'/>

Chính sách này xác minh rằng chế độ xác nhận đối tượng trong JWT khớp với giá trị được chỉ định trong cấu hình. Nếu không có kết quả trùng khớp, chính sách sẽ báo lỗi. Khai báo này xác định những người nhận mà JWT hướng đến. Đây là một trong những khai báo đã đăng ký được đề cập trong RFC7519.

<AdditionalClaims/Claim>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
 </AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

Xác thực rằng phần dữ liệu thực tế JWT chứa(các) khai báo bổ sung được chỉ định và các giá trị khai báo được xác nhận khớp với nhau.

Một giá trị nhận dạng bổ sung sử dụng tên không phải là một trong các tên giá trị nhận dạng JWT tiêu chuẩn, đã đăng ký. Giá trị của một yêu cầu bổ sung có thể là một chuỗi, số, boolean, bản đồ hoặc mảng. Bản đồ chỉ đơn giản là một tập hợp các cặp tên/giá trị. Bạn có thể chỉ định rõ ràng giá trị cho một khai báo thuộc bất kỳ loại nào trong số này trong cấu hình chính sách hoặc gián tiếp thông qua một tham chiếu đến biến luồng.

Phần tử <Claim> có các thuộc tính sau:

• name – (Bắt buộc) Tên của yêu cầu xác nhận quyền sở hữu.
• ref – (Không bắt buộc) Tên của một biến luồng. Nếu có, chính sách sẽ sử dụng giá trị của biến này làm yêu cầu. Nếu bạn chỉ định cả thuộc tính ref và giá trị khai báo rõ ràng, thì giá trị rõ ràng sẽ là giá trị mặc định và được dùng nếu biến luồng được tham chiếu không được phân giải.
• type – (Không bắt buộc) Một trong các loại: chuỗi (mặc định), số, boolean hoặc bản đồ
• array – (Không bắt buộc) Đặt thành true để cho biết liệu giá trị có phải là một mảng các loại hay không. Mặc định: false.

Khi bạn thêm phần tử <Claim>, tên của yêu cầu xác nhận quyền sở hữu sẽ được đặt tĩnh khi bạn định cấu hình chính sách. Ngoài ra, bạn có thể truyền một đối tượng JSON để chỉ định tên của các yêu cầu. Vì đối tượng JSON được truyền dưới dạng một biến, nên tên của xác nhận quyền sở hữu được xác định trong thời gian chạy.

Ví dụ:

<AdditionalClaims ref='json_claims'/>

Trong đó, biến json_claims chứa một đối tượng JSON ở dạng:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Xác thực rằng tiêu đề JWT chứa(các) cặp tên/giá trị của thông tin bổ sung được chỉ định và các giá trị của thông tin được xác nhận khớp với nhau.

Một khai báo bổ sung sử dụng tên không phải là một trong các tên khai báo JWT tiêu chuẩn, đã đăng ký. Giá trị của một khai báo bổ sung có thể là một chuỗi, số, boolean, bản đồ hoặc mảng. Bản đồ chỉ đơn giản là một tập hợp các cặp tên/giá trị. Bạn có thể chỉ định rõ ràng giá trị cho một khai báo thuộc bất kỳ loại nào trong số này trong cấu hình chính sách hoặc gián tiếp thông qua một tham chiếu đến biến luồng.

Phần tử <Claim> có các thuộc tính sau:

• name – (Bắt buộc) Tên của yêu cầu xác nhận quyền sở hữu.
• ref – (Không bắt buộc) Tên của một biến luồng. Nếu có, chính sách sẽ sử dụng giá trị của biến này làm yêu cầu. Nếu bạn chỉ định cả thuộc tính ref và giá trị khai báo rõ ràng, thì giá trị rõ ràng sẽ là giá trị mặc định và được dùng nếu biến luồng được tham chiếu không được phân giải.
• type – (Không bắt buộc) Một trong các loại: chuỗi (mặc định), số, boolean hoặc bản đồ
• array – (Không bắt buộc) Đặt thành true để cho biết liệu giá trị có phải là một mảng các loại hay không. Mặc định: false.

<CustomClaims>

Lưu ý: Hiện tại, phần tử CustomClaims sẽ được chèn khi bạn thêm chính sách GenerateJWT mới thông qua giao diện người dùng. Phần tử này không hoạt động và sẽ bị bỏ qua. Phần tử chính xác cần sử dụng thay thế là <AdditionalClaims>. Giao diện người dùng sẽ được cập nhật để chèn các phần tử chính xác vào thời điểm khác.

<Id>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

Xác minh rằng JWT có khai báo jti cụ thể. Khi giá trị văn bản và thuộc tính ref đều trống, chính sách sẽ tạo một jti chứa UUID ngẫu nhiên. Thông báo nhận dạng JWT (jti) là giá trị nhận dạng duy nhất cho JWT. Để biết thêm thông tin về jti, hãy tham khảo RFC7519.

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

Đặt thành false nếu bạn muốn chính sách này gửi lỗi khi mọi tiêu đề được liệt kê trong tiêu đề crit của JWT không được liệt kê trong phần tử <KnownHeaders>. Đặt thành true để khiến chính sách VerifyJWT bỏ qua tiêu đề crit.

Một lý do để đặt phần tử này thành true là nếu bạn đang ở trong môi trường kiểm thử và chưa sẵn sàng gây ra lỗi khi thiếu tiêu đề.

<IgnoreIssuedAt>

<IgnoreIssuedAt>true|false</IgnoreIssuedAt>

Đặt thành false (mặc định) nếu bạn muốn chính sách này gửi lỗi khi JWT chứa một yêu cầu iat (Được phát hành tại) chỉ định thời gian trong tương lai. Đặt thành true để khiến chính sách bỏ qua iat trong quá trình xác minh.

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Đặt thành false nếu bạn muốn chính sách này đưa ra lỗi khi không thể phân giải bất kỳ biến nào được tham chiếu mà bạn chỉ định trong chính sách. Đặt thành true để coi mọi biến không phân giải được là một chuỗi trống (rỗng).

<Issuer>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

Chính sách này xác minh rằng tổ chức phát hành trong JWT khớp với chuỗi được chỉ định trong phần tử cấu hình. Một khai báo xác định tổ chức phát hành JWT. Đây là một trong những tập hợp các khai báo đã đăng ký được đề cập trong RFC7519.

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

Chính sách GenerateJWT sử dụng phần tử <CriticalHeaders> để điền tiêu đề crit trong JWT. Ví dụ:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

Chính sách VerifyJWT sẽ kiểm tra tiêu đề crit trong JWT (nếu có) và đối với mỗi tiêu đề được liệt kê, chính sách này sẽ kiểm tra để đảm bảo rằng phần tử <KnownHeaders> cũng liệt kê tiêu đề đó. Phần tử <KnownHeaders> có thể chứa một siêu tập hợp các mục được liệt kê trong crit. Bạn chỉ cần liệt kê tất cả tiêu đề trong crit trong phần tử <KnownHeaders>. Mọi tiêu đề mà chính sách tìm thấy trong crit không có trong <KnownHeaders> đều khiến chính sách VerifyJWT không thành công.

Bạn có thể tuỳ ý định cấu hình chính sách VerifyJWT để bỏ qua tiêu đề crit bằng cách đặt phần tử <IgnoreCriticalHeaders> thành true.

<PublicKey/Certificate>

<PublicKey>
   <Certificate ref="signed_public.cert"/>
</PublicKey>
-or-
<PublicKey>
    <Certificate>
    -----BEGIN CERTIFICATE-----
    cert data
    -----END CERTIFICATE-----
    </Certificate>
</PublicKey>

Chỉ định chứng chỉ đã ký dùng để xác minh chữ ký trên JWT. Sử dụng thuộc tính ref để truyền chứng chỉ đã ký trong một biến luồng hoặc chỉ định trực tiếp chứng chỉ được mã hoá PEM. Chỉ sử dụng khi thuật toán là một trong các thuật toán RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Chỉ định một giá trị ở định dạng JWKS (RFC 7517) chứa một tập hợp khoá công khai. Chỉ sử dụng khi thuật toán là một trong các thuật toán RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

Nếu JWT đầu vào có một mã khoá xuất hiện trong tập hợp JWKS, thì chính sách sẽ dùng khoá công khai chính xác để xác minh chữ ký JWT. Để biết thông tin chi tiết về tính năng này, hãy xem phần Sử dụng một Nhóm khoá web JSON (JWKS) để xác minh JWT.

Nếu bạn tìm nạp giá trị từ một URL công khai, Edge sẽ lưu JWKS vào bộ nhớ đệm trong khoảng thời gian 300 giây. Khi bộ nhớ đệm hết hạn, Edge sẽ tìm nạp lại JWKS.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickeyorcert"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

Chỉ định khoá công khai hoặc chứng chỉ công khai dùng để xác minh chữ ký trên JWT. Sử dụng thuộc tính ref để truyền khoá/chứng chỉ trong một biến luồng hoặc chỉ định trực tiếp khoá được mã hoá PEM. Chỉ sử dụng khi thuật toán là một trong các thuật toán RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

<SecretKey/Value>

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.your-variable-name"/>
</SecretKey>

Cung cấp khoá bí mật dùng để xác minh hoặc ký mã thông báo bằng thuật toán HMAC. Chỉ sử dụng khi thuật toán là một trong các thuật toán HS256, HS384, HS512..

<Source>

<Source>jwt-variable</Source>

Nếu có, hãy chỉ định biến luồng mà chính sách dự kiến sẽ tìm thấy JWT để xác minh.

<Tiêu đề>

<Subject>subject-string-here</Subject>

Chính sách này xác minh rằng chủ đề trong JWT khớp với chuỗi được chỉ định trong cấu hình chính sách. Thông báo này xác định hoặc đưa ra một tuyên bố về chủ đề của JWT. Đây là một trong những bộ tiêu chuẩn khai báo được đề cập trong RFC7519.

<TimeAllowance>

<TimeAllowance>120s</TimeAllowance>

"Thời gian gia hạn" cho các lần. Ví dụ: nếu bạn định cấu hình thời gian cho phép là 60 giây, thì JWT đã hết hạn sẽ được coi là vẫn hợp lệ trong 60 giây sau khi hết hạn được xác nhận. Thời gian không được phép trước đó sẽ được đánh giá tương tự. Mặc định là 0 giây (không có khoảng thời gian gia hạn).

Biến luồng

Sau khi thành công, các chính sách Xác minh JWT và Giải mã JWT được đặt biến ngữ cảnh theo mẫu sau:

jwt.{policy_name}.{variable_name}

Ví dụ: nếu tên chính sách là jwt-parse-token, thì chính sách sẽ lưu trữ đối tượng được chỉ định trong JWT thành biến ngữ cảnh có tên jwt.jwt-parse-token.decoded.claim.sub. (Để có khả năng tương thích ngược, thư viện này cũng sẽ có trong jwt.jwt-parse-token.claim.subject)

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về, cũng như các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này đóng vai trò quan trọng trong việc phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi thời gian chạy

Những lỗi này có thể xảy ra khi thực thi chính sách.

Lỗi triển khai

Những lỗi này có thể xảy ra khi bạn triển khai proxy chứa chính sách này.

Biến lỗi

Các biến này được đặt khi xảy ra lỗi thời gian chạy. Để biết thêm thông tin, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi khi gặp lỗi

Để xử lý lỗi, phương pháp hay nhất là bẫy phần errorcode của lỗi của bạn. Đừng dựa vào văn bản trong faultstring vì văn bản này có thể thay đổi.

Ví dụ về quy tắc lỗi

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>