トークン検証

オーディエンス(aud)クレームの値に、アプリケーションのclient_id値が含まれることを検証します。aud (オーディエンス)クレームには、複数の要素を持つ配列を含めることができます。IDトークンに有効なオーディエンスとしてクライアントがリストされていない場合、またはクライアントから信頼されていない追加のオーディエンスが含まれる場合、IDトークンは拒否される必要があります。

現在の時刻が有効期限(exp)クレームで表される時刻より前であることを検証します。

例

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

発行者識別子(iss)クレームの値がiss (発行者)クレームの値(https://<domainURL>/)と完全に一致することを検証します

アクセス・トークンが発行者によって適切に署名されていることを検証します。

• SigningCert/jwkエンドポイント(たとえば、https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk)からテナントのパブリック証明書を取得します。

  ノート
  
  アイデンティティ・ドメインは公開キーを頻繁に変更しないため、公開キーをキャッシュして、ほとんどの場合、ローカル検証は効率的に実行できます。これには、証明書の取得と解析、および署名をチェックするための適切な暗号コールが必要です:

• 検証に使用可能なJWTライブラリを使用します(たとえば、Connect2idのJava用Nimbus JWTライブラリ)。使用可能なライブラリのリストは、「JWT」を参照してください。

• 各ライブラリのAPI (たとえば、Nimbus SignedJWT APIを使用)に資格証明を渡します。

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  ノート
  
  署名検証が失敗した場合、bogusトークンを使用した攻撃に対する再フェッチが常に実行されるようにするには、一定の時間間隔に基づいて公開キーの再フェッチ/再キャッシュを実行する必要があります(例- 60分)。これにより、再フェッチは60分ごとに実行されます。

発行者識別子(iss)クレームの値がiss (発行者)クレームの値(https://<domainURL>/)と完全に一致することを検証します

アクセス・トークンに、クライアントからのリクエストに応じたオーディエンス(aud)クレームがあることを検証します。audクレームの値は、クレームに応じて変更されます。audクレームは、複数のオーディエンスがある場合は配列になり、オーディエンスが1つのみの場合は文字列になります。

audクレームは、IAMアイデンティティ・ドメイン・アプリケーションのリソース・サーバーのプライマリ・オーディエンスです。IAMアイデンティティ・ドメイン・アプリケーションにセカンダリ・オーディエンスが定義されている場合、audクレームの一部としてセカンダリ・オーディエンスも追加されます。アクセス・トークンの検証の一部として、aud配列のいずれかの値がリソース・サーバーに対して意味がある場合、サーバーでアクセスを許可する必要があります。

現在の時刻が有効期限(exp)クレームで表される時刻より前であることを検証します。

スコープ・クレームの内容に基づいて操作を実行する権限がアクセス・トークンにあることを検証します。アクセス・トークンのスコープ・クレームは、スペース区切りの文字列のリストです。