Amazon CognitoのIDトークンを利用したREST APIの認証例

package com.nablarch.example.app.web.action;

import com.auth0.jwt.exceptions.JWTVerificationException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.nablarch.example.app.web.action.authn.IdTokenVerifier;
import nablarch.core.validation.ee.Required;
import nablarch.core.validation.ee.ValidatorUtil;
import nablarch.fw.web.HttpErrorResponse;
import nablarch.fw.web.HttpResponse;

import javax.ws.rs.Consumes;
import javax.ws.rs.core.MediaType;

/**
 * IDトークン認証アクション。
 */
public class IdTokenAuthenticationAction {

    /** IDトークンの検証 */
    private IdTokenVerifier idTokenVerifier;

    /**
     * IDトークンを用いてユーザーを認証する。
     *
     * 認証が成功したらログインセッションを確立し、他のREST APIにアクセスできるようにする。
     *
     * @param request HTTPリクエスト
     * @param context 実行コンテキスト
     * @param requestBody 入力値
     */
    @Consumes(MediaType.APPLICATION_JSON)
    public void login(HttpRequest request, ExecutionContext context, LoginRequest requestBody) {
        ValidatorUtil.validate(requestBody);

        try {
            DecodedJWT idToken = idTokenVerifier.verify(requestBody.idToken);

            // IDトークンの検証で異常が検出されなければ、IDトークンに含まれるユーザー情報で認証成功とする。
            // ログインセッションを確立し、認証状態を保持する。
            // （実装については省略）

        } catch (JWTVerificationException e) {
            throw new HttpErrorResponse(HttpResponse.Status.BAD_REQUEST.getStatusCode(), e);
        }
    }

    public void setIdTokenVerifier(IdTokenVerifier idTokenVerifier) {
        this.idTokenVerifier = idTokenVerifier;
    }

    /**
     * 認証リクエスト。
     */
    public static class LoginRequest {

        /** IDトークン */
        @Required
        public String idToken;
    }
}

<post path="/api/login" to="IdTokenAuthentication#login"/>

package com.nablarch.example.app.web.action.authn;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.exceptions.JWTVerificationException;

/**
 * IDトークンの検証。
 */
public class IdTokenVerifier {

    /** IDトークンの電子署名のアルゴリズム情報 */
    private IdTokenSignatureAlgorithmProvider signatureAlgorithmProvider;

    /** ユーザープールのURL */
    private String userPoolUrl;

    /** ユーザープールのクライアントID */
    private String userPoolClientId;

    /**
     * 指定されたIDトークンの正当性を検証します。
     *
     * 検証で異常が検出されなければ、デコードしたIDトークンを返却します。
     *
     * @param token IDトークン
     * @return デコードしたIDトークン
     * @throws JWTVerificationException 検証で異常が検出された場合
     */
    public DecodedJWT verify(String token) throws JWTVerificationException {
        JWTVerifier verifier = JWT.require(signatureAlgorithmProvider.get())
                .withAudience(userPoolClientId)
                .withIssuer(userPoolUrl)
                .withClaim("token_use", "id")
                .build();
        return verifier.verify(token);
    }

    public void setSignatureAlgorithmProvider(IdTokenSignatureAlgorithmProvider signatureAlgorithmProvider) {
        this.signatureAlgorithmProvider = signatureAlgorithmProvider;
    }

    public void setUserPoolUrl(String userPoolUrl) {
        this.userPoolUrl = userPoolUrl;
    }

    public void setUserPoolClientId(String userPoolClientId) {
        this.userPoolClientId = userPoolClientId;
    }
}

package com.nablarch.example.app.web.action.authn;

import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.RSAKeyProvider;

/**
 * IDトークンの電子署名のアルゴリズム情報。
 */
public class IdTokenSignatureAlgorithmProvider {

    /** RSA署名の鍵情報 */
    private RSAKeyProvider rsaKeyProvider;

    /**
     * 電子署名のアルゴリズムを取得します。
     *
     * @return アルゴリズム
     */
    public Algorithm get() {
        return Algorithm.RSA256(rsaKeyProvider);
    }

    public void setRsaKeyProvider(RSAKeyProvider rsaKeyProvider) {
        this.rsaKeyProvider = rsaKeyProvider;
    }
}

package com.nablarch.example.app.web.action.authn;

import com.auth0.jwk.Jwk;
import com.auth0.jwk.JwkException;
import com.auth0.jwk.JwkProvider;
import com.auth0.jwk.JwkProviderBuilder;
import com.auth0.jwt.interfaces.RSAKeyProvider;
import nablarch.core.log.Logger;
import nablarch.core.log.LoggerManager;

import java.security.interfaces.RSAPrivateKey;
import java.security.interfaces.RSAPublicKey;

/**
 * IDトークンのRSA署名の鍵情報。
 */
public class IdTokenRSAKeyProvider implements RSAKeyProvider {

    private static final Logger LOGGER = LoggerManager.get(IdTokenRSAKeyProvider.class);

    /** JWKセット情報 */
    private JwkProvider jwkProvider;

    /**
     * コンストラクタ。
     *
     * @param userPoolUrl ユーザープールのURL
     */
    public IdTokenRSAKeyProvider(String userPoolUrl) {
        // キャッシュやレートリミット、ブロキシサーバの設定も可能
        jwkProvider = new JwkProviderBuilder(userPoolUrl).build();
    }

    @Override
    public RSAPublicKey getPublicKeyById(String keyId) {
        try {
            Jwk jwk = jwkProvider.get(keyId);
            return (RSAPublicKey) jwk.getPublicKey();
        } catch (JwkException e) {
            if (LOGGER.isDebugEnabled()) {
                LOGGER.logDebug("Invalid public key.", e);
            }
            return null;
        }
    }

    @Override
    public RSAPrivateKey getPrivateKey() {
        return null;
    }

    @Override
    public String getPrivateKeyId() {
        return null;
    }
}

package com.nablarch.example.app.web.action.authn;

import nablarch.core.repository.di.ComponentFactory;

/**
 * {@link IdTokenRSAKeyProvider}のFactory。
 */
public class IdTokenRSAKeyProviderFactory implements ComponentFactory<IdTokenRSAKeyProvider> {

    /** ユーザープールのURL */
    private String userPoolUrl;

    @Override
    public IdTokenRSAKeyProvider createObject() {
        return new IdTokenRSAKeyProvider(userPoolUrl);
    }

    public void setUserPoolUrl(String userPoolUrl) {
        this.userPoolUrl = userPoolUrl;
    }
}

aws.cognito.userPool.url=https://cognito-idp.<リージョン>.amazonaws.com/<ユーザープールID>
aws.cognito.userPool.clientId=＜ユーザープールのクライアントID>

<!-- IDトークン認証アクション -->
<component name="com.nablarch.example.app.web.action.IdTokenAuthenticationAction"
           class="com.nablarch.example.app.web.action.IdTokenAuthenticationAction">
  <property name="idTokenVerifier" ref="IdTokenVerifier"/>
</component>
<!-- IDトークン検証 -->
<component name="IdTokenVerifier" class="com.nablarch.example.app.web.action.authn.IdTokenVerifier">
  <property name="signatureAlgorithmProvider" ref="signatureAlgorithmProvider"/>
  <property name="userPoolUrl" value="${aws.cognito.userPool.url}"/>
  <property name="userPoolClientId" value="${aws.cognito.userPool.clientId}"/>
</component>
<!-- IDトークンの電子署名アルゴリズム情報 -->
<component name="signatureAlgorithmProvider" class="com.nablarch.example.app.web.action.authn.IdTokenSignatureAlgorithmProvider">
  <property name="rsaKeyProvider" ref="rsaKeyProvider"/>
</component>
<!-- IDトークンのRSA署名の鍵情報 -->
<component name="rsaKeyProvider" class="com.nablarch.example.app.web.action.authn.IdTokenRSAKeyProviderFactory" >
  <property name="userPoolUrl" value="${aws.cognito.userPool.url}"/>
</component>