OAuth 2.0のResource Serverの作り方

© Hitachi, Ltd. 2020. All rights reserved.
OSSセキュリティ技術の会第八回勉強会
株式会社日立製作所
OSSソリューションセンタ
2020/06/05
茂木昂士
OAuth 入門
- Resource Serverのつくり方 -

自己紹介
1
- 茂木昂士(もぎたかし)
- 所属 : 日立製作所 OSSソリューションセンタ
- 業務 : APIセキュリティに関連するOSSの調査・検証
- @IT連載
- Keycloak超入門
- http://www.atmarkit.co.jp/ait/series/7363/

1. APIとセキュリティ
2

OAuth の基本
3
Authorization Server, Client, Resource Server
Client
Authorization Server
Resource Server
今日はこの部分の説明

Resource Server のセキュリティ
4
リクエストを受け取ったResource Serverは何をするのか？
- Access Tokenの有効性
- iss, exp, aud etc…
- End Userの属性
- ID, Role, Group などユーザに��づく属性値を確認
- Scope
- Client がアクセスを許可された範囲
上記を確認してリクエスト要否を決定する

OAuth を利用する際の API デザイン
5
一般的なAPI
/users/{userID}/messages
OAuthのAPI
/me/messages
ユーザ属性はAccess Tokenに紐づいている
- User IDなどのユーザ属性は Access Token から取得する
- Path Parameterと Access Token 両方をチェックする
- 煩雑、バグの温床になりうる
- API GWなどで変換してしまうのもあり

２. Access Token の検証方法
6

Access Tokenの種類
7
Access Tokenの表現方法から2種類に分けられる
- Handle
- ユーザ属性情報への参照
- Reference Token, Opaque Token などと呼ばれる
- Assertion
- ユーザ属性を内包する
- Self-Contained Tokenとも呼ばれる
- 一般的にはJSON Web Token (JWT)が利用される
RFC 6819 OAuth 2.0 Threat Model and Security Considerations
3.1 Tokens より

Handle Token の検証
8
RFC 6772 OAuth 2.0 Token Introspection
- Authorization Server が持つToken確認用のEndpoint
- Access Token の有効性確認、ユーザ属性の取得
HTTP/1.1 200 OK
Content-Type: application/json
{
"active": true,
"client_id": "l238j323ds-23ij4",
"username": "jdoe",
"scope": "read write dolphin",
"sub": "Z5O3upPC88QrAjx00dis",
"aud": "https://protected.example.net/resource",
"iss": "https://server.example.com/",
"exp": 1419356238,
"iat": 1419350238,
"extension_field": "twenty-seven"
}
“active”: true なら有効
false でも 200 OK

Assertion Token の検証
9
一般的に JWT (正確には JWS) が利用される
- iss や exp, aud などのClaimをチェック
- sub などからユーザのID取得
- 決まった形式はなく、ベンダー固有
JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens1
- Access Token の JWT を共通化しようとする取り組み
- 初版は2019/4 現在 Draft 7
[1]: http://tools.ietf.org/html/draft-ietf-oauth-access-token-jwt-07

Token Introspection vs JWT
10
Token Introspection
- Authorization Server への負荷増
- Handle, Assertion どちらでも可
JWT
- スケールしやすい
- 期限前の無効化が難しい
- プライバシーの問題
要件によって使い分け、組み合わせも可能

３. Spring Security Resource Server
11

Spring Security OAuth2 Resource Server
12
Spring Security の機能のひとつ
- OAuth Resource Server を実現するためのライブラリ
- Handle, Assertion (JWT) 両方に対応
- 5.1 から JWT に対応
- Opaque (Handle) Token には 5.2.1 から
- Qiitaに「Keycloak と Spring Security で Token Introspection1」書いてます
- Authorization Server が別に必要
[1]: https://qiita.com/t-mogi/items/4a513ab80774f2c6521b

Spring Security と Spring Security OAuth
13
Spring Security OAuth は別のプロジェクト
- 現在 Deprecated
- OAuth 関連は Spring Security に統一された
- Resource Server, Client のみ
- Authorization Server の機能はなくなった
→ Spring Authorization Server として開発が始まる(4月)
検索しづらく、古い情報にあたることが多いので注意が必要
[1]: https://github.com/spring-projects-experimental/spring-authorization-server

Spring Security での実装例
14
Token Introspection の URLを指定
spring:
security:
oauth2:
resourceserver:
opaquetoken:
introspection-uri: http://localhost:8080/…introspect
client-id: sample
client-secret: <client_secretの値>
@RequestMapping("/api/protected/")
@PreAuthorize("hasAuthority('SCOPE_read')")
public String index(JwtAuthenticationToken authenticationToken) {
Jwt token = authenticationToken.getToken();
String username = token.getClaimAsString("preferred_username");
…
}
Scopeでの制御、ユーザ属性の取得

株式会社日立製作所
OSS ソリューションセンター
- Resource Serverのつくり方 -
OAuth 入門
2020/06/05
茂木昂士
END
15

OAuth 2.0のResource Serverの作り方

OAuth 2.0のResource Serverの作り方

More Related Content

OAuth 2.0のResource Serverの作り方