Envoy JWT

JWT 认证

目前，无状态的HTTP协议用以跟踪用户状态的常用解决方案有两种

基于Session的认证

用户成功登录后，服务器为其创建并存储一个Session（map结构，有SessionID），并通过Set-Cookie将SessionID返回给客户端作为Cookie
客户端随后的请求都将在标头中通过Cookie附带该SessionID，并由服务器端完成验证

基于Token的认证

用户成功登录后，服务器使用Secret创建JWT，并将JWT返回给客户端进行存储
客户端在随后的请求标头中附带JWT，并由服务器完成验证

传统Session认证的弊端

服务器端通常将Session存储于内存中，数量较大时，session存储具有相当程度的开销
Session成为了应用的状态数据，影响服务器的横向扩展
用户的cookie被截获后，易导致CSRF攻击

JWT：JSON Web Token

JWS令牌格式：Header.Payload.Signature，但要编码为base64，也可以进行加密（JWE）
在分布式环境中实现跨域认证时，无需服务器端存储session；

服务器认证以后生成一个 JSON 对象返回给客户端，而后客户端的每次请求都要附加此对象
为了防止客户端篡改此JSON对象，通常需要对其进行签名;

JSON Web Signature

JWT authentication flow

Envoy JWT

Envoy基于JWT Authentication过滤器完成终端用户认证

基于过滤器核验JWT的签名、受众和颁发者以确定其携带有有效的令牌；若验证失败则请求被拒绝；
支持在请求的各种条件下检查JWT，例如仅针对特定路径；
支持从请求的各个位置提取JWT，并可合并同一请求中的多个JWT需求；
JWT签名所需的JWKS(Json Web Key Set)可在过滤器配置中内联指定，也可通过HTTP/HTTPS从远程服务器获取

配置时，需要使用名称envoy.filters.http.jwt_authn配置此过滤器，主要由两个字段

providers：定义如何验证JWT，例如提取令牌的位置、获取公钥的位置以及输出Payload的位置等；
rules：定义匹配规则及相关要求；

Envoy JWT过滤器配置语法

--
  listeners: 
    ...
    filter_chains: 
      ...
      name: ...
      filters: # 组成过滤器链的单个网络过滤器列表，用于与侦听器建立连接。顺序很重要，因为过滤器在连接事件发生时按顺序处理。注意：如果过滤器列表为空，则默认关闭连接。
        name: envoy.filters.network.http_connection_manager # 过滤器配置的名称。取决于typed_config配置的过滤器指定的名称。
        typed_config:  # 过滤器特定配置，这取决于被实例化的过滤器。
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          ...
          http_filters:
          - name: envoy.filters.http.jwt_authn
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication
              providers:  
                provider1:  # 定义provider名称及其相关的属性，以指定如何验证JWT；
                  issuer: ...  # JWT的签发者，通常是URL或email；
                  audiences: [] # 允许访问的JWT受众列表，含有此处指定的audiences其中之一的JWT即可被接受;
                  remote_jwks:  # 可通过HTTP/HTTPS远程获取到的JWK，因此内嵌的最重要字段即为uri；
                    http_uri:
                      uri: ...    # HTTP Server URI，格式为http(s)://SERVER:PORT/PATH
                      cluster: ...  # Envoy Cluster Manager中定义的相应的集群名称，该集群是uri获取的位置
                      timeout: ...  # 最大超时时长
                    cache_duration: # JWKS缓存的超时时长，默认为5分钟
                      seconds: ...
                    async_fetch: {...} # 
                    retry_policy:  # 重试Jwks的策略。可选择的默认情况下处于禁用状态。
                      retry_back_off: # 重试操作的退避策略
                        base_interval: {...} # 基准时间间隔
                        max_interval: {...} # 最大时间间隔
                      num_retries: {...} # 重试次数
                  forward: ...      # 布尔型值，定义是否无需在认证成功后从请求中移除JWT，默认为false，即需要移除；
                  local_jwks: {...} # 本地数据源可以访问到的JWK，本地DataSource格式，支持filename、inline_string和inline_bytes；
                  from_headers: []  # 定义可通过哪些HTTP协议标头获取JWT，支持Bear和自定义的标头，例如“Authorization: Bear <token>”等；
                  from_params: []   # 指定可以从哪些URL param中获取JWT，例如“/path?jwt_token=<JWT>”中的jwt_token参数；
                  from_cookies: []  # JWT包含在哪些Cookie中；
                  forward_payload_header: ... # 指定用于将经过验证的JWT的payload转发至后端的标头；
                  pad_forward_payload_header: ...
                  payload_in_metadata: ...
                  header_in_metadata: ...
                  clock_skew_seconds: ...
                  jwt_cache_config: {...}
                provider2:
                  ...
              rules:  # 定义特定路由条件下的JWT验证要求；
                match: {...}  # 路由匹配条件
                requires:  # JWT验证要求，以下验证方式仅能使用其中一种；
                  provider_name: ... # 需要的provider名称;
                  provider_and_audiences: {...} # 需要的provider和audiences；
                  requires_any: {...} # 由requirements参数指定需要的providers列表，其中任何一个provider验证通过，结果即为通过；
                  requires_all: {...} # 由requirements参数指定需要的providers列表，其中所有的provider验证通过，结果才为通过；
                  allow_missing_or_failed: {...} # 即便JWT缺失或验证失败，结果依然通过；example_jwks_cluster
                  allow_missing: {...}
                requirement_name: ...
              filter_state_rules: {...}
              bypass_cors_preflight: ...
              requirement_map: {...}

JWT认证配置示例

front-envoy.yaml

node:
  id: front-envoy
  cluster: mycluster

admin:
  profile_path: /tmp/envoy.prof
  access_log_path: /tmp/admin_access.log
  address:
    socket_address:
       address: 0.0.0.0
       port_value: 9901

layered_runtime:
  layers:
  - name: admin
    admin_layer: {}

static_resources:
  listeners:
  - address:
      socket_address:
        address: 0.0.0.0
        port_value: 80
    name: listener_http
    filter_chains:
    - filters:
      - name: envoy.filters.network.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          stat_prefix: ingress_http
          codec_type: AUTO
          access_log:
          - name: envoy.access_loggers.file
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog 
              path: "/dev/stdout"
              log_format:
                json_format: {"start": "[%START_TIME%] ", "method": "%REQ(:METHOD)%", "url": "%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%", "protocol": "%PROTOCOL%", "status": "%RESPONSE_CODE%", "respflags": "%RESPONSE_FLAGS%", "bytes-received": "%BYTES_RECEIVED%", "bytes-sent": "%BYTES_SENT%", "duration": "%DURATION%", "upstream-service-time": "%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%", "x-forwarded-for": "%REQ(X-FORWARDED-FOR)%", "user-agent": "%REQ(USER-AGENT)%", "request-id": "%REQ(X-REQUEST-ID)%", "authority": "%REQ(:AUTHORITY)%", "upstream-host": "%UPSTREAM_HOST%", "remote-ip": "%DOWNSTREAM_REMOTE_ADDRESS_WITHOUT_PORT%"}
                #text_format: "[%START_TIME%] \"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%\" %RESPONSE_CODE% %RESPONSE_FLAGS% %BYTES_RECEIVED% %BYTES_SENT% %DURATION% %RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)% \"%REQ(X-FORWARDED-FOR)%\" \"%REQ(USER-AGENT)%\" \"%REQ(X-REQUEST-ID)%\" \"%REQ(:AUTHORITY)%\" \"%UPSTREAM_HOST%\" \"%DOWNSTREAM_REMOTE_ADDRESS_WITHOUT_PORT%\"\n"
          stat_prefix: ingress_http
          route_config:
            name: local_route
            virtual_hosts:
            - name: vh_001
              domains: ["*"]
              routes:
              - match:
                  prefix: "/"
                route:
                  cluster: demoapp
          http_filters:
          - name: envoy.filters.http.jwt_authn
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication
              providers:
                jwt_provider:
                  issuer: "http://keycloak:8080"
                  #forward: true
                  remote_jwks:
                    http_uri:
                      uri: "http://keycloak:8080/auth/realms/demo/protocol/openid-connect/certs"
                      cluster: keycloak
                      timeout: 1s
              rules:
              - match:
                  prefix: "/"
                requires:
                  provider_name: jwt_provider
          - name: envoy.filters.http.router
            typed_config: {}

  clusters:
  - name: demoapp
    connect_timeout: 0.25s
    type: STRICT_DNS
    lb_policy: ROUND_ROBIN
    load_assignment:
      cluster_name: demoapp
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: demoapp
                port_value: 8080

  - name: keycloak
    connect_timeout: 0.25s
    type: STRICT_DNS
    lb_policy: ROUND_ROBIN
    load_assignment:
      cluster_name: keycloak
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: keycloak
                port_value: 8080

docker-compose.yaml

version: '3.3'

services:
  front-envoy:
    image: envoyproxy/envoy-alpine:v1.20.0
    volumes:
    - ./front-envoy.yaml:/etc/envoy/envoy.yaml
    networks:
      envoymesh:
        ipv4_address: 172.31.100.10
        aliases:
        - front-envoy
    expose:
      # Expose ports 80 (for general traffic) and 9901 (for the admin server)
      - "80"
      - "9901"
    ports:
      - "8080:80"


  demoapp:
    image: ikubernetes/demoapp:v1.0
    hostname: "upstream-demoapp"
    environment:
    - "PORT=8080"
    networks:
      envoymesh:
        aliases:
        - upstream-demoapp
    expose:
    - "8080"

  keycloak:
    image: quay.io/keycloak/keycloak:15.0.2
    networks:
      envoymesh:
        ipv4_address: 172.31.100.66
    environment:
      KEYCLOAK_USER: admin
      KEYCLOAK_PASSWORD: magedu.com
      DB_VENDOR: postgres
      DB_ADDR: postgres
      DB_DATABASE: keycloak
      DB_USER: kcadmin
      DB_PASSWORD: kcpass
    ports:
      - "8081:8080"
    depends_on:
      - postgres

  postgres:
    image: postgres:13.4-alpine
    restart: unless-stopped
    networks:
      envoymesh:
        ipv4_address: 172.31.100.67
        aliases:
        - db
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: kcadmin
      POSTGRES_PASSWORD: kcpass
    volumes:
    - "postgres_data:/var/lib/postgresql/data"

networks:
  envoymesh:
    driver: bridge
    ipam:
      config:
        - subnet: 172.31.100.0/24

volumes:
  postgres_data:
    driver: local

参考文档

https://www.envoyproxy.io/docs/envoy/latest/configuration/http/http_filters/jwt_authn_filter#config-http-filters-jwt-authn

https://www.envoyproxy.io/docs/envoy/latest/api-v3/extensions/filters/http/jwt_authn/v3/config.proto#extension-envoy-filters-http-jwt-authn

Envoy JWT

JWT 认证

JSON Web Signature

JWT authentication flow

Envoy JWT

Envoy JWT过滤器配置语法

JWT认证配置示例

front-envoy.yaml

docker-compose.yaml

参考文档

继续阅读

CSU 1567 Reverse Rot

网络空间安全中高职业院校职技能大赛——Telnet弱口令渗透测试

JAVA 系列——>开发工具IntelliJ IDEA的安装以及配置、快捷键IDEA 简介

门户通专访月光博客：第一博客是如何打造成的

解读2008年网络技术热词之云计算

UVA 519 Puzzle (II)

磁盘结构及在Linux中的命名

宝塔java项目部署日志路径

Centos 7 Apache配置虚拟主机

Ubunto 安装Apache2以后 httpd.conf文件找不到问题

Apache httpd 安装启动demo（Window版）

Apache配置文件中的deny和allow的使用

配置网页内容访问

艰难安装LDAP,SSL认证

Apache配置SSLApache配置SSL

Windows下配置Apache的SSL服务