JWT নীতি যাচাই করুন

আপনি Apigee Edge-এর ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন .info- তে যান।

কী

ক্লায়েন্ট বা অন্যান্য সিস্টেম থেকে প্রাপ্ত JWT-এর স্বাক্ষর যাচাই করে। এই পলিসিটি ক্লেইমগুলোকেও কনটেক্সট ভেরিয়েবলে এক্সট্র্যাক্ট করে, যাতে পরবর্তী পলিসি বা কন্ডিশনগুলো অথরাইজেশন বা রাউটিং সংক্রান্ত সিদ্ধান্ত নেওয়ার জন্য সেই মানগুলো পরীক্ষা করতে পারে। বিস্তারিত পরিচিতির জন্য JWS এবং JWT পলিসি ওভারভিউ দেখুন।

যখন এই পলিসিটি কার্যকর হয়, Edge একটি JWT-এর সিগনেচার যাচাই করে এবং যদি এক্সপায়ারি ও নট-বিফোর টাইম উপস্থিত থাকে, তবে সেই অনুযায়ী JWT-টি বৈধ কিনা তা যাচাই করে। পলিসিটি ঐচ্ছিকভাবে JWT-এর উপর থাকা নির্দিষ্ট ক্লেইমগুলোর মানও যাচাই করতে পারে, যেমন সাবজেক্ট, ইস্যুকারী, অডিয়েন্স, অথবা অতিরিক্ত ক্লেইমগুলোর মান।

যদি JWT-টি যাচাইকৃত এবং বৈধ হয়, তাহলে এর অন্তর্ভুক্ত সমস্ত ক্লেইম পরবর্তী পলিসি বা শর্তাবলীতে ব্যবহারের জন্য কনটেক্সট ভেরিয়েবলে এক্সট্র্যাক্ট করা হয় এবং রিকোয়েস্টটি অগ্রসর হতে পারে। যদি JWT সিগনেচার যাচাই করা না যায় অথবা কোনো একটি টাইমস্ট্যাম্পের কারণে JWT-টি অবৈধ হয়, তাহলে সমস্ত প্রসেসিং বন্ধ হয়ে যায় এবং রেসপন্সে একটি এরর দেখানো হয়।

একটি JWT-এর অংশগুলো এবং সেগুলো কীভাবে এনক্রিপ্ট ও সাইন করা হয় সে সম্পর্কে জানতে RFC7519 দেখুন।

ভিডিও

JWT-এর স্বাক্ষর কীভাবে যাচাই করতে হয়, তা জানতে একটি সংক্ষিপ্ত ভিডিও দেখুন।

নমুনা

• HS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন
• RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

HS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

এই উদাহরণ পলিসিটি একটি SHA-256 চেকসাম ব্যবহার করে HS256 এনক্রিপশন অ্যালগরিদম ও HMAC দ্বারা স্বাক্ষরিত একটি JWT যাচাই করে। প্রক্সি রিকোয়েস্টে jwt নামের একটি ফর্ম প্যারামিটার ব্যবহার করে JWT-টি পাঠানো হয়। কী-টি private.secretkey নামের একটি ভেরিয়েবলে থাকে। পলিসিতে কীভাবে রিকোয়েস্ট করতে হয় তা সহ একটি সম্পূর্ণ উদাহরণের জন্য উপরের ভিডিওটি দেখুন।

পলিসি কনফিগারেশনে সেইসব তথ্য অন্তর্ভুক্ত থাকে যা JWT ডিকোড এবং মূল্যায়ন করার জন্য Edge-এর প্রয়োজন হয়, যেমন JWT-টি কোথায় পাওয়া যাবে (Source এলিমেন্টে নির্দিষ্ট করা একটি ফ্লো ভেরিয়েবলে), প্রয়োজনীয় সাইনিং অ্যালগরিদম, সিক্রেট কী-টি কোথায় পাওয়া যাবে (যা একটি Edge ফ্লো ভেরিয়েবলে সংরক্ষিত থাকে এবং উদাহরণস্বরূপ, Edge KVM থেকে সংগ্রহ করা হয়ে থাকতে পারে), এবং প্রয়োজনীয় ক্লেইম ও তাদের মানসমূহ।

<VerifyJWT name="JWT-Verify-HS256">
    <DisplayName>JWT Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey encoding="base64">
        <Value ref="private.secretkey"/>
    </SecretKey>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
</VerifyJWT>

পলিসিটি তার আউটপুট কনটেক্সট ভেরিয়েবলে লিখে রাখে, যাতে এপিআই প্রক্সির পরবর্তী পলিসি বা কন্ডিশনগুলো সেই মানগুলো পরীক্ষা করতে পারে। এই পলিসি দ্বারা সেট করা ভেরিয়েবলগুলোর তালিকার জন্য ফ্লো ভেরিয়েবলস দেখুন।

RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

এই উদাহরণ পলিসিটি RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করে। যাচাই করার জন্য, আপনাকে পাবলিক কী প্রদান করতে হবে। প্রক্সি রিকোয়েস্টে jwt নামের একটি ফর্ম প্যারামিটার ব্যবহার করে JWT-টি পাঠানো হয়। পাবলিক কী-টি public.publickey নামের একটি ভেরিয়েবলে থাকে। পলিসিতে কীভাবে রিকোয়েস্ট করতে হয় তা সহ একটি সম্পূর্ণ উদাহরণের জন্য উপরের ভিডিওটি দেখুন।

এই নমুনা নীতিমালার প্রতিটি উপাদানের প্রয়োজনীয়তা ও বিকল্পগুলো সম্পর্কে বিস্তারিত জানতে উপাদান নির্দেশিকা দেখুন।

<VerifyJWT name="JWT-Verify-RS256">
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>    
    </AdditionalClaims>
</VerifyJWT>

উপরোক্ত কনফিগারেশনের জন্য, এই হেডার সহ একটি JWT …

{
  "typ" : "JWT", 
  "alg" : "RS256"
}

এবং এই পেলোড…

{ 
  "sub" : "apigee-seattle-hatrack-montage",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

… বৈধ বলে গণ্য হবে, যদি প্রদত্ত পাবলিক কী দিয়ে স্বাক্ষরটি যাচাই করা যায়।

একই হেডার কিন্তু এই পেলোড সহ একটি JWT …

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

স্বাক্ষর যাচাই করা গেলেও … অবৈধ বলে গণ্য হবে, কারণ JWT-তে অন্তর্ভুক্ত 'sub' ক্লেইমটি পলিসি কনফিগারেশনে নির্দিষ্ট করা 'Subject' এলিমেন্টের প্রয়োজনীয় মানের সাথে মেলে না।

পলিসিটি তার আউটপুট কনটেক্সট ভেরিয়েবলে লিখে রাখে, যাতে এপিআই প্রক্সির পরবর্তী পলিসি বা কন্ডিশনগুলো সেই মানগুলো পরীক্ষা করতে পারে। এই পলিসি দ্বারা সেট করা ভেরিয়েবলগুলোর তালিকার জন্য ফ্লো ভেরিয়েবলস দেখুন।

মূল উপাদানগুলি নির্ধারণ করা

JWT যাচাই করার জন্য ব্যবহৃত কী নির্দিষ্ট করতে আপনি যে উপাদানগুলো ব্যবহার করেন, তা নির্বাচিত অ্যালগরিদমের উপর নির্ভর করে, যেমনটি নিম্নলিখিত সারণিতে দেখানো হয়েছে:

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key_or_value"/>
</PublicKey>

<PublicKey>
  <Certificate ref="signed_cert_val_ref"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_or_ref"/>
</PublicKey>

উপাদান রেফারেন্স

পলিসি রেফারেন্সে ভেরিফাই JWT পলিসির উপাদান এবং বৈশিষ্ট্যগুলো বর্ণনা করা হয়েছে।

দ্রষ্টব্য: আপনার ব্যবহৃত এনক্রিপশন অ্যালগরিদমের উপর নির্ভর করে কনফিগারেশন কিছুটা ভিন্ন হবে। নির্দিষ্ট ব্যবহারের ক্ষেত্রে কনফিগারেশন প্রদর্শনের জন্য নমুনাগুলো দেখুন।

শীর্ষ-স্তরের উপাদানে প্রযোজ্য অ্যাট্রিবিউটসমূহ

<VerifyJWT name="JWT" continueOnError="false" enabled="true" async="false">

নিম্নলিখিত বৈশিষ্ট্যগুলি সকল পলিসি প্যারেন্ট এলিমেন্টের জন্য সাধারণ।

<ডিসপ্লে নাম>

<DisplayName>Policy Display Name</DisplayName>

ম্যানেজমেন্ট UI প্রক্সি এডিটরে পলিসিটিকে একটি ভিন্ন, স্বাভাবিক ভাষার নাম দিয়ে লেবেল করতে name অ্যাট্রিবিউটের পাশাপাশি এটি ব্যবহার করুন।

<অ্যালগরিদম>

<Algorithm>HS256</Algorithm>

টোকেনটিতে স্বাক্ষর করার জন্য এনক্রিপশন অ্যালগরিদম নির্দিষ্ট করে। RS*/PS*/ES* অ্যালগরিদমগুলো একটি পাবলিক/সিক্রেট কী পেয়ার ব্যবহার করে, অন্যদিকে HS* অ্যালগরিদমগুলো একটি শেয়ার্ড সিক্রেট ব্যবহার করে। আরও দেখুন সিগনেচার এনক্রিপশন অ্যালগরিদম সম্পর্কে ।

আপনি কমা দিয়ে একাধিক মান উল্লেখ করতে পারেন। উদাহরণস্বরূপ, "HS256, HS512" অথবা "RS256, PS256"। তবে, আপনি HS* অ্যালগরিদমকে অন্য কোনোটির সাথে বা ES* অ্যালগরিদমকে অন্য কোনোটির সাথে একত্রিত করতে পারবেন না, কারণ সেগুলোর জন্য একটি নির্দিষ্ট কী টাইপ প্রয়োজন। আপনি RS* এবং PS* অ্যালগরিদম একত্রিত করতে পারেন।

<দর্শক>

<Audience>audience-here</Audience>

or:

<Audience ref='variable-name-here'/>

পলিসিটি যাচাই করে যে JWT-তে থাকা 'অডিয়েন্স' ক্লেইমটি কনফিগারেশনে নির্দিষ্ট করা মানের সাথে মেলে কি না। যদি না মেলে, তাহলে পলিসিটি একটি এরর দেখায়। এই ক্লেইমটি সেই প্রাপকদের শনাক্ত করে যাদের জন্য JWT-টি তৈরি করা হয়েছে। এটি RFC7519- এ উল্লিখিত রেজিস্টার্ড ক্লেইমগুলোর মধ্যে একটি।

<অতিরিক্ত দাবি/দাবি>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
 </AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

যাচাই করে যে JWT পেলোডে নির্দিষ্ট অতিরিক্ত ক্লেইম(গুলি) রয়েছে এবং অ্যাসার্ট করা ক্লেইমের মানগুলি মিলে যায়।

একটি অতিরিক্ত ক্লেইম এমন একটি নাম ব্যবহার করে যা প্রমিত, নিবন্ধিত JWT ক্লেইম নামগুলোর মধ্যে একটি নয়। একটি অতিরিক্ত ক্লেইমের মান একটি স্ট্রিং, একটি সংখ্যা, একটি বুলিয়ান, একটি ম্যাপ বা একটি অ্যারে হতে পারে। একটি ম্যাপ হলো মূলত নাম/মান জোড়ের একটি সেট। এই প্রকারগুলোর যেকোনোটির ক্লেইমের মান পলিসি কনফিগারেশনে স্পষ্টভাবে, অথবা একটি ফ্লো ভেরিয়েবলের রেফারেন্সের মাধ্যমে পরোক্ষভাবে নির্দিষ্ট করা যেতে পারে।

<Claim> এলিমেন্টটি এই অ্যাট্রিবিউটগুলো গ্রহণ করে:

• নাম - (আবশ্যক) দাবির নাম।
• ref - (ঐচ্ছিক) একটি ফ্লো ভেরিয়েবলের নাম। এটি উপস্থিত থাকলে, পলিসি এই ভেরিয়েবলের মানটিকে ক্লেইম হিসেবে ব্যবহার করবে। যদি একটি ref অ্যাট্রিবিউট এবং একটি সুস্পষ্ট ক্লেইম মান উভয়ই নির্দিষ্ট করা থাকে, তবে সুস্পষ্ট মানটি ডিফল্ট হিসেবে গণ্য হবে এবং উল্লেখিত ফ্লো ভেরিয়েবলটি অমীমাংসিত থাকলে সেটিই ব্যবহৃত হবে।
• ধরণ - (ঐচ্ছিক) নিম্নলিখিতগুলির মধ্যে একটি: স্ট্রিং (ডিফল্ট), সংখ্যা, বুলিয়ান, বা ম্যাপ
• অ্যারে - (ঐচ্ছিক) মানটি বিভিন্ন টাইপের একটি অ্যারে কিনা তা নির্দেশ করতে ' true' সেট করুন। ডিফল্ট: 'false'।

যখন আপনি <Claim> এলিমেন্টটি অন্তর্ভুক্ত করেন, তখন পলিসি কনফিগার করার সময় ক্লেইমের নামগুলো স্ট্যাটিক্যালি সেট হয়ে যায়। বিকল্পভাবে, আপনি ক্লেইমের নামগুলো নির্দিষ্ট করার জন্য একটি JSON অবজেক্ট পাস করতে পারেন। যেহেতু JSON অবজেক্টটি একটি ভেরিয়েবল হিসেবে পাস করা হয়, তাই ক্লেইমের নামগুলো রানটাইমে নির্ধারিত হয়।

উদাহরণস্বরূপ:

<AdditionalClaims ref='json_claims'/>

যেখানে json_claims ভেরিয়েবলটিতে নিম্নলিখিত ফর্ম্যাটের একটি JSON অবজেক্ট রয়েছে:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

<অতিরিক্ত শিরোনাম/দাবি>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

যাচাই করে যে JWT হেডারে নির্দিষ্ট অতিরিক্ত ক্লেইম নেম/ভ্যালু পেয়ার(গুলি) রয়েছে এবং অ্যাসার্ট করা ক্লেইম ভ্যালুগুলো মেলে।

একটি অতিরিক্ত ক্লেইম এমন একটি নাম ব্যবহার করে যা প্রমিত, নিবন্ধিত JWT ক্লেইম নামগুলোর মধ্যে একটি নয়। একটি অতিরিক্ত ক্লেইমের মান একটি স্ট্রিং, একটি সংখ্যা, একটি বুলিয়ান, একটি ম্যাপ বা একটি অ্যারে হতে পারে। একটি ম্যাপ হলো মূলত নাম/মান জোড়ের একটি সেট। এই প্রকারগুলোর যেকোনোটির ক্লেইমের মান পলিসি কনফিগারেশনে স্পষ্টভাবে, অথবা একটি ফ্লো ভেরিয়েবলের রেফারেন্সের মাধ্যমে পরোক্ষভাবে নির্দিষ্ট করা যেতে পারে।

<Claim> এলিমেন্টটি এই অ্যাট্রিবিউটগুলো গ্রহণ করে:

• নাম - (আবশ্যক) দাবির নাম।
• ref - (ঐচ্ছিক) একটি ফ্লো ভেরিয়েবলের নাম। এটি উপস্থিত থাকলে, পলিসি এই ভেরিয়েবলের মানটিকে ক্লেইম হিসেবে ব্যবহার করবে। যদি একটি ref অ্যাট্রিবিউট এবং একটি সুস্পষ্ট ক্লেইম মান উভয়ই নির্দিষ্ট করা থাকে, তবে সুস্পষ্ট মানটি ডিফল্ট হিসেবে গণ্য হবে এবং উল্লেখিত ফ্লো ভেরিয়েবলটি অমীমাংসিত থাকলে সেটিই ব্যবহৃত হবে।
• ধরণ - (ঐচ্ছিক) নিম্নলিখিতগুলির মধ্যে একটি: স্ট্রিং (ডিফল্ট), সংখ্যা, বুলিয়ান, বা ম্যাপ
• অ্যারে - (ঐচ্ছিক) মানটি বিভিন্ন টাইপের একটি অ্যারে কিনা তা নির্দেশ করতে ' true' সেট করুন। ডিফল্ট: 'false'।

কাস্টম দাবি

দ্রষ্টব্য: বর্তমানে, আপনি যখন UI-এর মাধ্যমে একটি নতুন GenerateJWT পলিসি যোগ করেন, তখন একটি CustomClaims এলিমেন্ট যুক্ত হয়ে যায়। এই এলিমেন্টটি কার্যকরী নয় এবং এটি উপেক্ষা করা হয়। এর পরিবর্তে ব্যবহার করার জন্য সঠিক এলিমেন্টটি হলো <AdditionalClaims> । পরবর্তীতে সঠিক এলিমেন্টগুলো যুক্ত করার জন্য UI আপডেট করা হবে।

<আইডি>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

এটি যাচাই করে যে JWT-টিতে নির্দিষ্ট jti ক্লেইমটি আছে। যখন টেক্সট ভ্যালু এবং ref অ্যাট্রিবিউট উভয়ই খালি থাকে, তখন পলিসিটি একটি র‍্যান্ডম UUID সম্বলিত একটি jti তৈরি করবে। JWT ID (jti) ক্লেইমটি হলো JWT-এর জন্য একটি অনন্য শনাক্তকারী। jti সম্পর্কে আরও তথ্যের জন্য, RFC7519 দেখুন।

<গুরুত্বপূর্ণ শিরোনাম উপেক্ষা করুন>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

যদি আপনি চান যে JWT-এর crit হেডারে তালিকাভুক্ত কোনো হেডার <KnownHeaders> এলিমেন্টে তালিকাভুক্ত না থাকলে পলিসিটি একটি এরর দেখাবে, তাহলে এটিকে false সেট করুন। যদি আপনি চান যে VerifyJWT পলিসিটি crit হেডারটিকে উপেক্ষা করুক, তাহলে এটিকে true সেট করুন।

এই এলিমেন্টটিকে 'true' সেট করার একটি কারণ হলো, যদি আপনি কোনো টেস্টিং পরিবেশে থাকেন এবং হেডার অনুপস্থিত থাকার কারণে কোনো ফেইলর ঘটাতে এখনো প্রস্তুত না হন।

<IgnoreIssuedAt>

<IgnoreIssuedAt>true|false</IgnoreIssuedAt>

যদি আপনি চান যে কোনো JWT-তে iat (Issued at) ক্লেইম ভবিষ্যতের কোনো সময় নির্দিষ্ট করলে পলিসিটি একটি এরর দেখাবে, তাহলে এটিকে false (ডিফল্ট) সেট করুন। ভেরিফিকেশনের সময় পলিসিটি যাতে iat উপেক্ষা করে, তার জন্য এটিকে true সেট করুন।

<অমীমাংসিত ভেরিয়েবল উপেক্ষা করুন>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

যদি আপনি চান যে পলিসিতে উল্লেখিত কোনো রেফারেন্সকৃত ভেরিয়েবল সমাধানযোগ্য না হলে পলিসিটি একটি ত্রুটি (error) দেখাবে, তাহলে এটিকে false সেট করুন। যেকোনো সমাধানযোগ্য নয় এমন ভেরিয়েবলকে একটি খালি স্ট্রিং (null) হিসেবে গণ্য করতে এটিকে true সেট করুন।

<ইস্যুকারী>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

পলিসিটি যাচাই করে যে JWT-তে থাকা ইস্যুকারী কনফিগারেশন এলিমেন্টে নির্দিষ্ট করা স্ট্রিংটির সাথে মেলে কিনা। এটি একটি ক্লেইম যা JWT-এর ইস্যুকারীকে শনাক্ত করে। এটি RFC7519- এ উল্লিখিত নিবন্ধিত ক্লেইমগুলোর একটি।

<পরিচিত শিরোনাম>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

GenerateJWT পলিসিটি একটি JWT-এর ক্রিটিক্যাল হেডার পূরণ করার জন্য <CriticalHeaders> এলিমেন্টটি ব্যবহার করে। উদাহরণস্বরূপ:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

VerifyJWT পলিসিটি JWT-তে crit হেডারটি আছে কিনা তা পরীক্ষা করে, এবং তালিকাভুক্ত প্রতিটি হেডারের জন্য এটি যাচাই করে যে <KnownHeaders> এলিমেন্টেও সেই হেডারটি তালিকাভুক্ত আছে কিনা। <KnownHeaders> এলিমেন্টটিতে crit- এ তালিকাভুক্ত আইটেমগুলোর একটি সুপারসেট থাকতে পারে। শুধুমাত্র এটুকুই আবশ্যক যে crit- এ তালিকাভুক্ত সমস্ত হেডার <KnownHeaders> এলিমেন্টেও তালিকাভুক্ত থাকবে। পলিসিটি crit- এ এমন কোনো হেডার খুঁজে পায় যা <KnownHeaders> এ তালিকাভুক্ত নয়, সেক্ষেত্রে VerifyJWT পলিসিটি ব্যর্থ হয়।

আপনি চাইলে <IgnoreCriticalHeaders> এলিমেন্টটিকে true সেট করে VerifyJWT পলিসিটিকে crit হেডার উপেক্ষা করার জন্য কনফিগার করতে পারেন।

<পাবলিক কী/সার্টিফিকেট>

<PublicKey>
   <Certificate ref="signed_public.cert"/>
</PublicKey>
-or-
<PublicKey>
    <Certificate>
    -----BEGIN CERTIFICATE-----
    cert data
    -----END CERTIFICATE-----
    </Certificate>
</PublicKey>

JWT-এর স্বাক্ষর যাচাই করার জন্য ব্যবহৃত স্বাক্ষরিত সার্টিফিকেটটি নির্দিষ্ট করে। একটি ফ্লো ভেরিয়েবলে স্বাক্ষরিত সার্টিফিকেটটি পাস করতে ref অ্যাট্রিবিউটটি ব্যবহার করুন, অথবা সরাসরি PEM-এনকোডেড সার্টিফিকেটটি নির্দিষ্ট করুন। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়।

<পাবলিককী/জেডব্লিউকেএস>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

JWKS ফরম্যাটে ( RFC 7517 ) একটি মান নির্দিষ্ট করে, যাতে এক সেট পাবলিক কী থাকে। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়।

যদি আগত JWT-তে এমন একটি কী আইডি থাকে যা JWKS সেটে উপস্থিত, তাহলে পলিসিটি JWT সিগনেচার যাচাই করার জন্য সঠিক পাবলিক কী ব্যবহার করবে। এই বৈশিষ্ট্যটি সম্পর্কে বিস্তারিত জানতে, “Using a JSON Web Key Set (JWKS) to verify a JWT” দেখুন।

আপনি যদি কোনো পাবলিক ইউআরএল থেকে ভ্যালুটি ফেচ করেন, Edge ৩০০ সেকেন্ডের জন্য JWKS-টি ক্যাশ করে রাখে। ক্যাশের মেয়াদ শেষ হয়ে গেলে, Edge আবার JWKS-টি ফেচ করে।

<পাবলিক কী/মান>

<PublicKey>
   <Value ref="public.publickeyorcert"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

JWT-এর সিগনেচার যাচাই করার জন্য ব্যবহৃত পাবলিক কী বা পাবলিক সার্টিফিকেট নির্দিষ্ট করে। ফ্লো ভেরিয়েবলে কী/সার্টিফিকেট পাস করার জন্য ref অ্যাট্রিবিউট ব্যবহার করুন, অথবা সরাসরি PEM-এনকোডেড কী নির্দিষ্ট করুন। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়।

<গোপন কী/মান>

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.your-variable-name"/>
</SecretKey>

HMAC অ্যালগরিদম ব্যবহার করে টোকেন যাচাই বা স্বাক্ষর করার জন্য ব্যবহৃত গোপন কী প্রদান করে। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি HS256, HS384 বা HS512-এর মধ্যে কোনো একটি হয়।

<উৎস>

<Source>jwt-variable</Source>

উপস্থিত থাকলে, এটি সেই ফ্লো ভেরিয়েবলটি নির্দিষ্ট করে যেখানে পলিসিটি যাচাই করার জন্য JWT-টি খুঁজে পাওয়ার প্রত্যাশা করে।

বিষয়

<Subject>subject-string-here</Subject>

পলিসিটি যাচাই করে যে JWT-এর সাবজেক্টটি পলিসি কনফিগারেশনে নির্দিষ্ট করা স্ট্রিংটির সাথে মেলে কিনা। এই ক্লেইমটি JWT-এর সাবজেক্টকে শনাক্ত করে বা সে সম্পর্কে একটি বিবৃতি দেয়। এটি RFC7519- এ উল্লিখিত স্ট্যান্ডার্ড ক্লেইমগুলোর একটি।

<সময় বরাদ্দ>

<TimeAllowance>120s</TimeAllowance>

সময়ের জন্য 'গ্রেস পিরিয়ড'। উদাহরণস্বরূপ, যদি সময়সীমা ৬০ সেকেন্ড হিসেবে কনফিগার করা থাকে, তাহলে একটি মেয়াদোত্তীর্ণ JWT-কে নির্ধারিত মেয়াদের পর আরও ৬০ সেকেন্ড পর্যন্ত বৈধ বলে গণ্য করা হবে। 'নট-বিফোর-টাইম'-ও একইভাবে মূল্যায়ন করা হবে। ডিফল্ট মান ০ সেকেন্ড (কোনো গ্রেস পিরিয়ড নেই)।

ফ্লো ভেরিয়েবল

সাফল্যের পরে, JWT যাচাই করুন এবং JWT ডিকোড নীতিগুলি এই প্যাটার্ন অনুসারে প্রসঙ্গ ভেরিয়েবল সেট করে:

jwt.{policy_name}.{variable_name}

উদাহরণ স্বরূপ, যদি পলিসির নাম jwt-parse-token হয়, তাহলে পলিসি JWT-এ উল্লেখিত বিষয়কে jwt.jwt-parse-token.decoded.claim.sub নামের কনটেক্সট ভেরিয়েবলে সংরক্ষণ করবে। (পশ্চাদগামী সামঞ্জস্যের জন্য, এটি jwt.jwt-parse-token.claim.subject এও উপলব্ধ হবে)

ত্রুটির রেফারেন্স

এই বিভাগটি ফল্ট কোড এবং ত্রুটির বার্তাগুলি বর্ণনা করে যেগুলি ফেরত দেওয়া হয় এবং ত্রুটি ভেরিয়েবলগুলি যেগুলি এজ দ্বারা সেট করা হয় যখন এই নীতিটি একটি ত্রুটি ট্রিগার করে৷ এই তথ্যটি জানা গুরুত্বপূর্ণ যে আপনি ত্রুটিগুলি পরিচালনা করার জন্য ত্রুটির নিয়ম তৈরি করছেন কিনা। আরও জানতে, নীতিগত ত্রুটি এবং হ্যান্ডলিং ফল্ট সম্পর্কে আপনার যা জানা দরকার তা দেখুন৷

রানটাইম ত্রুটি

নীতি কার্যকর করার সময় এই ত্রুটিগুলি ঘটতে পারে৷

স্থাপনার ত্রুটি

আপনি যখন এই নীতি সম্বলিত একটি প্রক্সি স্থাপন করেন তখন এই ত্রুটিগুলি ঘটতে পারে৷

ফল্ট ভেরিয়েবল

রানটাইম ত্রুটি ঘটলে এই ভেরিয়েবলগুলি সেট করা হয়। আরও তথ্যের জন্য, নীতি ত্রুটি সম্পর্কে আপনার যা জানা দরকার তা দেখুন।

উদাহরণ ত্রুটি প্রতিক্রিয়া

ত্রুটি পরিচালনার জন্য, সর্বোত্তম অনুশীলন হল ত্রুটি প্রতিক্রিয়ার errorcode অংশটি আটকে রাখা। faultstring -এ লেখার উপর নির্ভর করবেন না, কারণ এটি পরিবর্তন হতে পারে।

উদাহরণ দোষ নিয়ম

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>
    

আপনি Apigee Edge-এর ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন .info- তে যান।

কী

ক্লায়েন্ট বা অন্যান্য সিস্টেম থেকে প্রাপ্ত JWT-এর স্বাক্ষর যাচাই করে। এই পলিসিটি ক্লেইমগুলোকেও কনটেক্সট ভেরিয়েবলে এক্সট্র্যাক্ট করে, যাতে পরবর্তী পলিসি বা কন্ডিশনগুলো অথরাইজেশন বা রাউটিং সংক্রান্ত সিদ্ধান্ত নেওয়ার জন্য সেই মানগুলো পরীক্ষা করতে পারে। বিস্তারিত পরিচিতির জন্য JWS এবং JWT পলিসি ওভারভিউ দেখুন।

যখন এই পলিসিটি কার্যকর হয়, Edge একটি JWT-এর সিগনেচার যাচাই করে এবং যদি এক্সপায়ারি ও নট-বিফোর টাইম উপস্থিত থাকে, তবে সেই অনুযায়ী JWT-টি বৈধ কিনা তা যাচাই করে। পলিসিটি ঐচ্ছিকভাবে JWT-এর উপর থাকা নির্দিষ্ট ক্লেইমগুলোর মানও যাচাই করতে পারে, যেমন সাবজেক্ট, ইস্যুকারী, অডিয়েন্স, অথবা অতিরিক্ত ক্লেইমগুলোর মান।

যদি JWT-টি যাচাইকৃত এবং বৈধ হয়, তাহলে এর অন্তর্ভুক্ত সমস্ত ক্লেইম পরবর্তী পলিসি বা শর্তাবলীতে ব্যবহারের জন্য কনটেক্সট ভেরিয়েবলে এক্সট্র্যাক্ট করা হয় এবং রিকোয়েস্টটি অগ্রসর হতে পারে। যদি JWT সিগনেচার যাচাই করা না যায় অথবা কোনো একটি টাইমস্ট্যাম্পের কারণে JWT-টি অবৈধ হয়, তাহলে সমস্ত প্রসেসিং বন্ধ হয়ে যায় এবং রেসপন্সে একটি এরর দেখানো হয়।

একটি JWT-এর অংশগুলো এবং সেগুলো কীভাবে এনক্রিপ্ট ও সাইন করা হয় সে সম্পর্কে জানতে RFC7519 দেখুন।

ভিডিও

JWT-এর স্বাক্ষর কীভাবে যাচাই করতে হয়, তা জানতে একটি সংক্ষিপ্ত ভিডিও দেখুন।

নমুনা

• HS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন
• RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

HS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

এই উদাহরণ পলিসিটি একটি SHA-256 চেকসাম ব্যবহার করে HS256 এনক্রিপশন অ্যালগরিদম ও HMAC দ্বারা স্বাক্ষরিত একটি JWT যাচাই করে। প্রক্সি রিকোয়েস্টে jwt নামের একটি ফর্ম প্যারামিটার ব্যবহার করে JWT-টি পাঠানো হয়। কী-টি private.secretkey নামের একটি ভেরিয়েবলে থাকে। পলিসিতে কীভাবে রিকোয়েস্ট করতে হয় তা সহ একটি সম্পূর্ণ উদাহরণের জন্য উপরের ভিডিওটি দেখুন।

পলিসি কনফিগারেশনে সেইসব তথ্য অন্তর্ভুক্ত থাকে যা JWT ডিকোড এবং মূল্যায়ন করার জন্য Edge-এর প্রয়োজন হয়, যেমন JWT-টি কোথায় পাওয়া যাবে (Source এলিমেন্টে নির্দিষ্ট করা একটি ফ্লো ভেরিয়েবলে), প্রয়োজনীয় সাইনিং অ্যালগরিদম, সিক্রেট কী-টি কোথায় পাওয়া যাবে (যা একটি Edge ফ্লো ভেরিয়েবলে সংরক্ষিত থাকে এবং উদাহরণস্বরূপ, Edge KVM থেকে সংগ্রহ করা হয়ে থাকতে পারে), এবং প্রয়োজনীয় ক্লেইম ও তাদের মানসমূহ।

<VerifyJWT name="JWT-Verify-HS256">
    <DisplayName>JWT Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey encoding="base64">
        <Value ref="private.secretkey"/>
    </SecretKey>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
</VerifyJWT>

পলিসিটি তার আউটপুট কনটেক্সট ভেরিয়েবলে লিখে রাখে, যাতে এপিআই প্রক্সির পরবর্তী পলিসি বা কন্ডিশনগুলো সেই মানগুলো পরীক্ষা করতে পারে। এই পলিসি দ্বারা সেট করা ভেরিয়েবলগুলোর তালিকার জন্য ফ্লো ভেরিয়েবলস দেখুন।

RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করুন

এই উদাহরণ পলিসিটি RS256 অ্যালগরিদম দিয়ে স্বাক্ষরিত একটি JWT যাচাই করে। যাচাই করার জন্য, আপনাকে পাবলিক কী প্রদান করতে হবে। প্রক্সি রিকোয়েস্টে jwt নামের একটি ফর্ম প্যারামিটার ব্যবহার করে JWT-টি পাঠানো হয়। পাবলিক কী-টি public.publickey নামের একটি ভেরিয়েবলে থাকে। পলিসিতে কীভাবে রিকোয়েস্ট করতে হয় তা সহ একটি সম্পূর্ণ উদাহরণের জন্য উপরের ভিডিওটি দেখুন।

এই নমুনা নীতিমালার প্রতিটি উপাদানের প্রয়োজনীয়তা ও বিকল্পগুলো সম্পর্কে বিস্তারিত জানতে উপাদান নির্দেশিকা দেখুন।

<VerifyJWT name="JWT-Verify-RS256">
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>    
    </AdditionalClaims>
</VerifyJWT>

উপরোক্ত কনফিগারেশনের জন্য, এই হেডার সহ একটি JWT …

{
  "typ" : "JWT", 
  "alg" : "RS256"
}

এবং এই পেলোড…

{ 
  "sub" : "apigee-seattle-hatrack-montage",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

… বৈধ বলে গণ্য হবে, যদি প্রদত্ত পাবলিক কী দিয়ে স্বাক্ষরটি যাচাই করা যায়।

একই হেডার কিন্তু এই পেলোড সহ একটি JWT …

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

স্বাক্ষর যাচাই করা গেলেও … অবৈধ বলে গণ্য হবে, কারণ JWT-তে অন্তর্ভুক্ত 'sub' ক্লেইমটি পলিসি কনফিগারেশনে নির্দিষ্ট করা 'Subject' এলিমেন্টের প্রয়োজনীয় মানের সাথে মেলে না।

পলিসিটি তার আউটপুট কনটেক্সট ভেরিয়েবলে লিখে রাখে, যাতে এপিআই প্রক্সির পরবর্তী পলিসি বা কন্ডিশনগুলো সেই মানগুলো পরীক্ষা করতে পারে। এই পলিসি দ্বারা সেট করা ভেরিয়েবলগুলোর তালিকার জন্য ফ্লো ভেরিয়েবলস দেখুন।

মূল উপাদানগুলি নির্ধারণ করা

JWT যাচাই করার জন্য ব্যবহৃত কী নির্দিষ্ট করতে আপনি যে উপাদানগুলো ব্যবহার করেন, তা নির্বাচিত অ্যালগরিদমের উপর নির্ভর করে, যেমনটি নিম্নলিখিত সারণিতে দেখানো হয়েছে:

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key_or_value"/>
</PublicKey>

<PublicKey>
  <Certificate ref="signed_cert_val_ref"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_or_ref"/>
</PublicKey>

উপাদান রেফারেন্স

পলিসি রেফারেন্সে ভেরিফাই JWT পলিসির উপাদান এবং বৈশিষ্ট্যগুলো বর্ণনা করা হয়েছে।

দ্রষ্টব্য: আপনার ব্যবহৃত এনক্রিপশন অ্যালগরিদমের উপর নির্ভর করে কনফিগারেশন কিছুটা ভিন্ন হবে। নির্দিষ্ট ব্যবহারের ক্ষেত্রে কনফিগারেশন প্রদর্শনের জন্য নমুনাগুলো দেখুন।

শীর্ষ-স্তরের উপাদানে প্রযোজ্য অ্যাট্রিবিউটসমূহ

<VerifyJWT name="JWT" continueOnError="false" enabled="true" async="false">

নিম্নলিখিত বৈশিষ্ট্যগুলি সকল পলিসি প্যারেন্ট এলিমেন্টের জন্য সাধারণ।

<ডিসপ্লে নাম>

<DisplayName>Policy Display Name</DisplayName>

ম্যানেজমেন্ট UI প্রক্সি এডিটরে পলিসিটিকে একটি ভিন্ন, স্বাভাবিক ভাষার নাম দিয়ে লেবেল করতে name অ্যাট্রিবিউটের পাশাপাশি এটি ব্যবহার করুন।

<অ্যালগরিদম>

<Algorithm>HS256</Algorithm>

টোকেনটিতে স্বাক্ষর করার জন্য এনক্রিপশন অ্যালগরিদম নির্দিষ্ট করে। RS*/PS*/ES* অ্যালগরিদমগুলো একটি পাবলিক/সিক্রেট কী পেয়ার ব্যবহার করে, অন্যদিকে HS* অ্যালগরিদমগুলো একটি শেয়ার্ড সিক্রেট ব্যবহার করে। আরও দেখুন সিগনেচার এনক্রিপশন অ্যালগরিদম সম্পর্কে ।

আপনি কমা দিয়ে একাধিক মান উল্লেখ করতে পারেন। উদাহরণস্বরূপ, "HS256, HS512" অথবা "RS256, PS256"। তবে, আপনি HS* অ্যালগরিদমকে অন্য কোনোটির সাথে বা ES* অ্যালগরিদমকে অন্য কোনোটির সাথে একত্রিত করতে পারবেন না, কারণ সেগুলোর জন্য একটি নির্দিষ্ট কী টাইপ প্রয়োজন। আপনি RS* এবং PS* অ্যালগরিদম একত্রিত করতে পারেন।

<দর্শক>

<Audience>audience-here</Audience>

or:

<Audience ref='variable-name-here'/>

পলিসিটি যাচাই করে যে JWT-তে থাকা 'অডিয়েন্স' ক্লেইমটি কনফিগারেশনে নির্দিষ্ট করা মানের সাথে মেলে কি না। যদি না মেলে, তাহলে পলিসিটি একটি এরর দেখায়। এই ক্লেইমটি সেই প্রাপকদের শনাক্ত করে যাদের জন্য JWT-টি তৈরি করা হয়েছে। এটি RFC7519- এ উল্লিখিত রেজিস্টার্ড ক্লেইমগুলোর মধ্যে একটি।

<অতিরিক্ত দাবি/দাবি>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
 </AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

যাচাই করে যে JWT পেলোডে নির্দিষ্ট অতিরিক্ত ক্লেইম(গুলি) রয়েছে এবং অ্যাসার্ট করা ক্লেইমের মানগুলি মিলে যায়।

একটি অতিরিক্ত ক্লেইম এমন একটি নাম ব্যবহার করে যা প্রমিত, নিবন্ধিত JWT ক্লেইম নামগুলোর মধ্যে একটি নয়। একটি অতিরিক্ত ক্লেইমের মান একটি স্ট্রিং, একটি সংখ্যা, একটি বুলিয়ান, একটি ম্যাপ বা একটি অ্যারে হতে পারে। একটি ম্যাপ হলো মূলত নাম/মান জোড়ের একটি সেট। এই প্রকারগুলোর যেকোনোটির ক্লেইমের মান পলিসি কনফিগারেশনে স্পষ্টভাবে, অথবা একটি ফ্লো ভেরিয়েবলের রেফারেন্সের মাধ্যমে পরোক্ষভাবে নির্দিষ্ট করা যেতে পারে।

<Claim> এলিমেন্টটি এই অ্যাট্রিবিউটগুলো গ্রহণ করে:

• নাম - (আবশ্যক) দাবির নাম।
• ref - (ঐচ্ছিক) একটি ফ্লো ভেরিয়েবলের নাম। এটি উপস্থিত থাকলে, পলিসি এই ভেরিয়েবলের মানটিকে ক্লেইম হিসেবে ব্যবহার করবে। যদি একটি ref অ্যাট্রিবিউট এবং একটি সুস্পষ্ট ক্লেইম মান উভয়ই নির্দিষ্ট করা থাকে, তবে সুস্পষ্ট মানটি ডিফল্ট হিসেবে গণ্য হবে এবং উল্লেখিত ফ্লো ভেরিয়েবলটি অমীমাংসিত থাকলে সেটিই ব্যবহৃত হবে।
• ধরণ - (ঐচ্ছিক) নিম্নলিখিতগুলির মধ্যে একটি: স্ট্রিং (ডিফল্ট), সংখ্যা, বুলিয়ান, বা ম্যাপ
• অ্যারে - (ঐচ্ছিক) মানটি বিভিন্ন টাইপের একটি অ্যারে কিনা তা নির্দেশ করতে ' true' সেট করুন। ডিফল্ট: 'false'।

যখন আপনি <Claim> এলিমেন্টটি অন্তর্ভুক্ত করেন, তখন পলিসি কনফিগার করার সময় ক্লেইমের নামগুলো স্ট্যাটিক্যালি সেট হয়ে যায়। বিকল্পভাবে, আপনি ক্লেইমের নামগুলো নির্দিষ্ট করার জন্য একটি JSON অবজেক্ট পাস করতে পারেন। যেহেতু JSON অবজেক্টটি একটি ভেরিয়েবল হিসেবে পাস করা হয়, তাই ক্লেইমের নামগুলো রানটাইমে নির্ধারিত হয়।

উদাহরণস্বরূপ:

<AdditionalClaims ref='json_claims'/>

যেখানে json_claims ভেরিয়েবলটিতে নিম্নলিখিত ফর্ম্যাটের একটি JSON অবজেক্ট রয়েছে:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

<অতিরিক্ত শিরোনাম/দাবি>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

যাচাই করে যে JWT হেডারে নির্দিষ্ট অতিরিক্ত ক্লেইম নেম/ভ্যালু পেয়ার(গুলি) রয়েছে এবং অ্যাসার্ট করা ক্লেইম ভ্যালুগুলো মেলে।

একটি অতিরিক্ত ক্লেইম এমন একটি নাম ব্যবহার করে যা প্রমিত, নিবন্ধিত JWT ক্লেইম নামগুলোর মধ্যে একটি নয়। একটি অতিরিক্ত ক্লেইমের মান একটি স্ট্রিং, একটি সংখ্যা, একটি বুলিয়ান, একটি ম্যাপ বা একটি অ্যারে হতে পারে। একটি ম্যাপ হলো মূলত নাম/মান জোড়ের একটি সেট। এই প্রকারগুলোর যেকোনোটির ক্লেইমের মান পলিসি কনফিগারেশনে স্পষ্টভাবে, অথবা একটি ফ্লো ভেরিয়েবলের রেফারেন্সের মাধ্যমে পরোক্ষভাবে নির্দিষ্ট করা যেতে পারে।

<Claim> এলিমেন্টটি এই অ্যাট্রিবিউটগুলো গ্রহণ করে:

• নাম - (আবশ্যক) দাবির নাম।
• ref - (ঐচ্ছিক) একটি ফ্লো ভেরিয়েবলের নাম। এটি উপস্থিত থাকলে, পলিসি এই ভেরিয়েবলের মানটিকে ক্লেইম হিসেবে ব্যবহার করবে। যদি একটি ref অ্যাট্রিবিউট এবং একটি সুস্পষ্ট ক্লেইম মান উভয়ই নির্দিষ্ট করা থাকে, তবে সুস্পষ্ট মানটি ডিফল্ট হিসেবে গণ্য হবে এবং উল্লেখিত ফ্লো ভেরিয়েবলটি অমীমাংসিত থাকলে সেটিই ব্যবহৃত হবে।
• ধরণ - (ঐচ্ছিক) নিম্নলিখিতগুলির মধ্যে একটি: স্ট্রিং (ডিফল্ট), সংখ্যা, বুলিয়ান, বা ম্যাপ
• অ্যারে - (ঐচ্ছিক) মানটি বিভিন্ন টাইপের একটি অ্যারে কিনা তা নির্দেশ করতে ' true' সেট করুন। ডিফল্ট: 'false'।

কাস্টম দাবি

দ্রষ্টব্য: বর্তমানে, আপনি যখন UI-এর মাধ্যমে একটি নতুন GenerateJWT পলিসি যোগ করেন, তখন একটি CustomClaims এলিমেন্ট যুক্ত হয়ে যায়। এই এলিমেন্টটি কার্যকরী নয় এবং এটি উপেক্ষা করা হয়। এর পরিবর্তে ব্যবহার করার জন্য সঠিক এলিমেন্টটি হলো <AdditionalClaims> । পরবর্তীতে সঠিক এলিমেন্টগুলো যুক্ত করার জন্য UI আপডেট করা হবে।

<আইডি>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

এটি যাচাই করে যে JWT-টিতে নির্দিষ্ট jti ক্লেইমটি আছে। যখন টেক্সট ভ্যালু এবং ref অ্যাট্রিবিউট উভয়ই খালি থাকে, তখন পলিসিটি একটি র‍্যান্ডম UUID সম্বলিত একটি jti তৈরি করবে। JWT ID (jti) ক্লেইমটি হলো JWT-এর জন্য একটি অনন্য শনাক্তকারী। jti সম্পর্কে আরও তথ্যের জন্য, RFC7519 দেখুন।

<গুরুত্বপূর্ণ শিরোনাম উপেক্ষা করুন>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

যদি আপনি চান যে JWT-এর crit হেডারে তালিকাভুক্ত কোনো হেডার <KnownHeaders> এলিমেন্টে তালিকাভুক্ত না থাকলে পলিসিটি একটি এরর দেখাবে, তাহলে এটিকে false সেট করুন। যদি আপনি চান যে VerifyJWT পলিসিটি crit হেডারটিকে উপেক্ষা করুক, তাহলে এটিকে true সেট করুন।

এই এলিমেন্টটিকে 'true' সেট করার একটি কারণ হলো, যদি আপনি কোনো টেস্টিং পরিবেশে থাকেন এবং হেডার অনুপস্থিত থাকার কারণে কোনো ফেইলর ঘটাতে এখনো প্রস্তুত না হন।

<IgnoreIssuedAt>

<IgnoreIssuedAt>true|false</IgnoreIssuedAt>

যদি আপনি চান যে কোনো JWT-তে iat (Issued at) ক্লেইম ভবিষ্যতের কোনো সময় নির্দিষ্ট করলে পলিসিটি একটি এরর দেখাবে, তাহলে এটিকে false (ডিফল্ট) সেট করুন। ভেরিফিকেশনের সময় পলিসিটি যাতে iat উপেক্ষা করে, তার জন্য এটিকে true সেট করুন।

<অমীমাংসিত ভেরিয়েবল উপেক্ষা করুন>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

যদি আপনি চান যে পলিসিতে উল্লেখিত কোনো রেফারেন্সকৃত ভেরিয়েবল সমাধানযোগ্য না হলে পলিসিটি একটি ত্রুটি (error) দেখাবে, তাহলে এটিকে false সেট করুন। যেকোনো সমাধানযোগ্য নয় এমন ভেরিয়েবলকে একটি খালি স্ট্রিং (null) হিসেবে গণ্য করতে এটিকে true সেট করুন।

<ইস্যুকারী>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

পলিসিটি যাচাই করে যে JWT-তে থাকা ইস্যুকারী কনফিগারেশন এলিমেন্টে নির্দিষ্ট করা স্ট্রিংটির সাথে মেলে কিনা। এটি একটি ক্লেইম যা JWT-এর ইস্যুকারীকে শনাক্ত করে। এটি RFC7519- এ উল্লিখিত নিবন্ধিত ক্লেইমগুলোর একটি।

<পরিচিত শিরোনাম>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

GenerateJWT পলিসিটি একটি JWT-এর ক্রিটিক্যাল হেডার পূরণ করার জন্য <CriticalHeaders> এলিমেন্টটি ব্যবহার করে। উদাহরণস্বরূপ:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

VerifyJWT পলিসিটি JWT-তে crit হেডারটি আছে কিনা তা পরীক্ষা করে, এবং তালিকাভুক্ত প্রতিটি হেডারের জন্য এটি যাচাই করে যে <KnownHeaders> এলিমেন্টেও সেই হেডারটি তালিকাভুক্ত আছে কিনা। <KnownHeaders> এলিমেন্টটিতে crit- এ তালিকাভুক্ত আইটেমগুলোর একটি সুপারসেট থাকতে পারে। শুধুমাত্র এটুকুই আবশ্যক যে crit- এ তালিকাভুক্ত সমস্ত হেডার <KnownHeaders> এলিমেন্টেও তালিকাভুক্ত থাকবে। পলিসিটি crit- এ এমন কোনো হেডার খুঁজে পায় যা <KnownHeaders> এ তালিকাভুক্ত নয়, সেক্ষেত্রে VerifyJWT পলিসিটি ব্যর্থ হয়।

আপনি চাইলে <IgnoreCriticalHeaders> এলিমেন্টটিকে true সেট করে VerifyJWT পলিসিটিকে crit হেডার উপেক্ষা করার জন্য কনফিগার করতে পারেন।

<পাবলিক কী/সার্টিফিকেট>

<PublicKey>
   <Certificate ref="signed_public.cert"/>
</PublicKey>
-or-
<PublicKey>
    <Certificate>
    -----BEGIN CERTIFICATE-----
    cert data
    -----END CERTIFICATE-----
    </Certificate>
</PublicKey>

JWT-এর স্বাক্ষর যাচাই করার জন্য ব্যবহৃত স্বাক্ষরিত সার্টিফিকেটটি নির্দিষ্ট করে। একটি ফ্লো ভেরিয়েবলে স্বাক্ষরিত সার্টিফিকেটটি পাস করতে ref অ্যাট্রিবিউটটি ব্যবহার করুন, অথবা সরাসরি PEM-এনকোডেড সার্টিফিকেটটি নির্দিষ্ট করুন। শুধুমাত্র তখনই ব্যবহার করুন যখন অ্যালগরিদমটি RS256/RS384/RS512, PS256/PS384/PS512, অথবা ES256/ES384/ES512-এর মধ্যে একটি হয়।

<পাবলিককী/জেডব্লিউকেএস>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Specifies a value in JWKS format ( RFC 7517 ) containing a set of public keys. Use only when the algorithm is one of RS256/RS384/RS512, PS256/PS384/PS512, or ES256/ES384/ES512.

If the inbound JWT bears a key ID which present in the set of JWKS, then the policy will use the correct public key to verify the JWT signature. For details about this feature, see Using a JSON Web Key Set (JWKS) to verify a JWT .

If you fetch the value from a public URL, Edge caches the JWKS for a period of 300 seconds. When the cache expires, Edge fetches the JWKS again.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickeyorcert"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

Specifies the public key or public cert used to verify the signature on the JWT. Use the ref attribute to pass the key/cert in a flow variable, or specify the PEM-encoded key directly. Use only when the algorithm is one of RS256/RS384/RS512, PS256/PS384/PS512, or ES256/ES384/ES512.

<SecretKey/Value>

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.your-variable-name"/>
</SecretKey>

Provides the secret key used to verify or sign tokens with an HMAC algorithm. Use only when the algorithm is one of HS256, HS384, HS512. .

<Source>

<Source>jwt-variable</Source>

If present, specifies the flow variable in which the policy expects to find the JWT to verify.

<Subject>

<Subject>subject-string-here</Subject>

The policy verifies that the subject in the JWT matches the string specified in the policy configuration. This claim identifies or makes a statement about the subject of the JWT. This is one of the standard set of claims mentioned in RFC7519 .

<TimeAllowance>

<TimeAllowance>120s</TimeAllowance>

The "grace period" for times. For example, if the time allowance is configured to be 60s, then an expired JWT would be treated as still valid, for 60s after the asserted expiry. The not-before-time will be evaluated similarly. Defaults to 0 seconds (no grace period).

ফ্লো ভেরিয়েবল

সাফল্যের পরে, JWT যাচাই করুন এবং JWT ডিকোড নীতিগুলি এই প্যাটার্ন অনুসারে প্রসঙ্গ ভেরিয়েবল সেট করে:

jwt.{policy_name}.{variable_name}

উদাহরণ স্বরূপ, যদি পলিসির নাম jwt-parse-token হয়, তাহলে পলিসি JWT-এ উল্লেখিত বিষয়কে jwt.jwt-parse-token.decoded.claim.sub নামের কনটেক্সট ভেরিয়েবলে সংরক্ষণ করবে। (পশ্চাদগামী সামঞ্জস্যের জন্য, এটি jwt.jwt-parse-token.claim.subject এও উপলব্ধ হবে)

ত্রুটির রেফারেন্স

এই বিভাগটি ফল্ট কোড এবং ত্রুটির বার্তাগুলি বর্ণনা করে যেগুলি ফেরত দেওয়া হয় এবং ত্রুটি ভেরিয়েবলগুলি যেগুলি এজ দ্বারা সেট করা হয় যখন এই নীতিটি একটি ত্রুটি ট্রিগার করে৷ এই তথ্যটি জানা গুরুত্বপূর্ণ যে আপনি ত্রুটিগুলি পরিচালনা করার জন্য ত্রুটির নিয়ম তৈরি করছেন কিনা। আরও জানতে, নীতিগত ত্রুটি এবং হ্যান্ডলিং ফল্ট সম্পর্কে আপনার যা জানা দরকার তা দেখুন৷

রানটাইম ত্রুটি

নীতি কার্যকর করার সময় এই ত্রুটিগুলি ঘটতে পারে৷

স্থাপনার ত্রুটি

আপনি যখন এই নীতি সম্বলিত একটি প্রক্সি স্থাপন করেন তখন এই ত্রুটিগুলি ঘটতে পারে৷

ফল্ট ভেরিয়েবল

রানটাইম ত্রুটি ঘটলে এই ভেরিয়েবলগুলি সেট করা হয়। আরও তথ্যের জন্য, নীতি ত্রুটি সম্পর্কে আপনার যা জানা দরকার তা দেখুন।

উদাহরণ ত্রুটি প্রতিক্রিয়া

ত্রুটি পরিচালনার জন্য, সর্বোত্তম অনুশীলন হল ত্রুটি প্রতিক্রিয়ার errorcode অংশটি আটকে রাখা। faultstring -এ লেখার উপর নির্ভর করবেন না, কারণ এটি পরিবর্তন হতে পারে।

উদাহরণ দোষ নিয়ম

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>