调试 AWS HTTP API (beta) JWT Authorizer

Question

我正在试验AWS Api Gateway's beta "HTTP API" 功能。

作为此实验的一部分，我正在尝试使用“JWT Authorizer”授权对 api 的访问：

https://docs.aws.amazon.com/apigateway/latest/developerguide/http-api-jwt-authorizer.html

文档指出，JWT 在获得授权或被拒绝之前，将通过一系列检查/验证 JWT 的工作流程。

没有授权者，端点是可访问的。通过授权人，我得到一个带有 json 的 401 响应：

{"message":"Unauthorized"}

我正在尝试找出授权方拒绝 JWT 的步骤。我已经为 api 端点设置了一个日志，并看到了进来的请求，但它没有提供关于授权失败的原因。

有没有办法调试授权方失败的原因/位置？

注意：这里不是在讨论 lamda 授权者，我也不是使用 Cognito 来生成 JWT。

Answer 1

对于遇到的人

OIDC 发现端点元数据中的颁发者与配置的颁发者不匹配”

在 S3 上托管他们的 OpenId 配置和 JWK 文件时出错。

确保你使用

https://BUCKETNAME.s3.amazonaws.com/

而不是

https://BUCKETNAME.REGION.s3.amazonaws.com/

对于颁发者字段。

Answer 2

查看响应。有一个名为 www-authenticate 的标头，其中包含一个错误响应，如果身份验证失败。

即：

www-authenticate: Bearer scope="" error="invalid_token" error_description="JWKS 通信错误"

如果你使用 curl，你可以尝试使用 -v 来查看完整的响应，包括标题。

Answer 3

401 表示无法建立用户的身份验证。基本上，JWT 要么有问题，要么没有在 API Gateway 期望的标头中提供请求。

另外，API Gateway 不是一个成熟的服务器，所以不会调试 API Gateway 如何使用 JWT。虽然这可能很糟糕，但请注意，它确实为您的后端提供了一个高度可扩展、可靠且廉价的 HTTP 端点，并具有内置的基于 JWT 的身份验证支持，并且它刚刚在大多数地区可用。所以，我暂时不会把它划掉。

回到你的问题。虽然我不知道如何帮助调试部分。我可以告诉你我在不编写任何代码的情况下尝试使用 JWT 授权器的步骤。

1. 通过 https://mkjwk.org/ 创建了一个临时 JWK，它使用您选择的 kid 和 RS256 算法为您提供了一个公钥和私钥 + 公钥对集
2. 复制公钥并将其插入您的 ISSUER_URL/.well-known/jwks.json。如果您不使用 Cognito，您可以将文件放在 S3 中进行实验（在这种情况下，您的 S3 存储桶 url 将成为颁发者 url）。如果使用 S3，您还需要创建 ISSUER_URL/.well_known/openid-configuration 文件，并使这些文件在实验期间公开可用。这些文件遵循您可以在线搜索的标准格式 (OIDC)。请注意，jwks.json 文件仅包含公钥，因此即使其他人得到它也没关系。
3. 获取私钥 + 公钥对集并转到 https://8gwifi.org/jwkconvertfunctions.jsp 以获取单独的私钥和公钥 RSA pem 密钥
4. 转到https://jwt.io/ 并选择 RS256 算法，kid 标头声明（使用与第一步中生成密钥相同的值），aud 在负载（这应该与您在 HTTP API 网关中设置 JWT 授权者时选择的配置相匹配），负载中的 iss 声明（这应该与 ISSUER_URL 相匹配），exp 中的声明有效载荷（JWT 的到期时间，您可以使用 https://www.epochconverter.com/），有效载荷中的 nbf 声明（只需从 https://www.epochconverter.com/ 获取当前时间戳）以及您的公共和私有 RSA pem 密钥从上一步得到的都放在他们对应的签名部分。如果您在使用 HTTP API 网关设置 JWT 授权方时设置了授权范围，还请提供 scp 有效负载声明

完成所有这些之后，我能够测试 API 网关是否能够与我生成的 JWT 一起使用。现在，我可以更有信心地编写这个东西了，幸运的是，已经有 JAVA、node 等工具可用。