通过 Keycloak 结合 OAuth2.0协议进行 Amazon API Gateway 鉴权

1. 简介

本文介绍了如何通过 Keycloak，并结合 Amazon API Gateway 内置的授权功能，完成对 Amazon 资源请求的鉴权过程。API Gateway 帮助开发者安全的的创建、发布、维护并管理 API 的访问。在中国区，由于Cognito 仍未上线，因此使用 Keycloak 作为 API 调用的鉴权服务，具有重要的实际意义。

亚马逊云科技开发者社区为开发者们提供全球的开发技术资源。这里有技术文档、开发案例、技术专栏、培训视频、活动与竞赛等。帮助中国开发者对接世界最前沿技术，观点，和项目，并将中国优秀开发者或技术推荐给全球云社区。如果你还没有关注/收藏，看到这里请一定不要匆匆划过，点这里让它成为你的技术宝库！

本文共分为四大模块：

简介：对 Keycloak、OAuth2.0以及 Amazon API Gateway Authorizer 进行了介绍；

配置说明：对环境的设定进行了详细的说明，包括 DynamoDB 的设定以及 Keycloak 环境的搭建和设置；

验证 JWT Authorizer：通过 Postman 对 API Gateway 的授权功能进行验证；

总结：对全文的总结。

1.1 关于 Keycloak

Keycloak 是一个开源并广泛应用于用户身份管理与授权的解决方案。Keycloak 支持多种协议和标准，包括 OpenID Connect，OAuth2.0和SAML2.0。同时 Keycloak 可以集成与已有的 LDAP 或者 Active Directory 服务集成，用于单点登录。基于 OAuth2.0，Keycloak 还可以通过 JWT Token 完成对 API 的鉴权，本文基于此场景，结合 Keycloak 通过 Amazon Gateway 的 Authorizer 完成请求的鉴权。

1.2 关于OAuth2.0

OAuth2.0全称为 Open Authorization 2.0，为用于鉴权的协议。通过 OAuth 协议，可以授权第三方应用请求用户的资源，而不需要资源的拥有者直接向第三方提供任何验证凭据信息。 OAuth2.0 鉴权流程

image.png

1.3 关于 Amazon API Gateway Authorizer

在本文中，我们以 HTTP API 为例，利用 HTTP API 已内置的授权功能进行 API 请求的鉴权。如果使用 REST API，则需要通过结合 Lambda 进行 JWT Token 的校验，可参照此说明文档进行配置。

2. 配置说明

image.png

在本设计中，用户通过调用 API Gateway 中定义好的 API ，访问 Amazon 上的数据库资源。我们通过定义2个路由，并集成 Lambda 函数，完成对 DynamoDB 数据的读/写。

  • GET /items：不需要进行鉴权，可以直接通过 API Gateway 获取DynamoDB 数据。
  • POST /items：需要进行鉴权，通过 API Gateway 校验请求 Token，验证成功后，向 DynamoDB 写入数据。
2.2 预置条件
  • 创建一个 DynamoDB Table，DemoTable。
  • 在 Amazon API Gateway 创建 HTTP API，并与 Lambda 进行集成。

DynomoDB 设置

image.png

  • 分区键：pk
  • 排序键：sk
  • 其他保留默认配置

API Gateway 设置

创建 API Gateway，为 API Gateway 创建2条路由，并关联 Lambd 函数，列表如下：

image.png

Lambda 函数样例

  • GetItemsLambda
import boto3
import os
import json
import botocoredef lambda_handler(event, context):try:client = boto3.resource("dynamodb")table_name = os.environ.get('DDB_TABLE')table = client.Table(table_name)scanning_result = table.scan()return {'statusCode': 200,'body': json.dumps(scanning_result),'headers': {'Content-Type': 'application/json'},'isBase64Encoded': 'false'}except botocore.exceptions.ClientError as e:print(e)
  • GetItemsLambdaRole Policy:
"Version": "2012-10-17","Statement": [{"Action": ["xray:PutTraceSegments","xray:PutTelemetryRecords"],"Resource": "*","Effect": "Allow"},{"Action": ["dynamodb:DescribeTable","dynamodb:Query","dynamodb:Scan"],"Resource": ["arn:aws:dynamodb:us-east-1:123456789012:table/DemoTable"],"Effect": "Allow"}]
}
  • CreateItemsLambda:
import json
import datetime
import boto3
import os
import botocore
import uuiddef lambda_handler(event, context):try:client = boto3.client('dynamodb')table_name = os.environ.get('DDB_TABLE')req_body = json.loads(event["body"])req_user = event["requestContext"]["authorizer"]["jwt"]["claims"]["email"]ct = datetime.datetime.now()client.put_item(TableName = table_name,Item = {'pk': {'S':req_user},'sk': {'S':'item#' + str(uuid.uuid4())},'title': {'S':req_body["title"]},'timeCreated': {'S': ct.isoformat()}})return {'statusCode': 200,'body': json.dumps('New Item Created')}except botocore.exceptions.ClientError as e:print(e)
  • CreateItemsLambdaRole Policy:
{"Version": "2012-10-17","Statement": [{"Action": ["xray:PutTraceSegments","xray:PutTelemetryRecords"],"Resource": "*","Effect": "Allow"},{"Action": ["dynamodb:BatchGetItem","dynamodb:GetRecords","dynamodb:GetShardIterator","dynamodb:Query","dynamodb:GetItem","dynamodb:Scan","dynamodb:ConditionCheckItem","dynamodb:BatchWriteItem","dynamodb:PutItem","dynamodb:UpdateItem","dynamodb:DeleteItem"],"Resource": [" arn:aws:dynamodb:us-east-1:123456789012:table/DemoTable "],"Effect": "Allow"}]
}
2.3 Keycloak 的设定

2.3.1 Keycloak 的安装

关于 Keycloak 的安装，请参照 blog：使用 SAML 和 Keycloak 建立 Amazon SSO 登陆 Console

2.3.2 Keycloak realm 的建立

Realm 可以理解为域，用于管理用户、用户凭据、角色和用户组。通常我们需要在 realm 里创建 client ，不同的应用客户端应在 realm 中配置不同的 client 。当进行鉴权时，请求资源的应用客户端会向鉴权服务器请求 Auth Code ，正如上文中 OAuth2.0鉴权流程 第2步所示。为了完成 Keycloak realm 的建立，我们可以：

  1. 登陆 keycloak admin console，点击 “Administration Console” 并登陆；

image.png

  1. 创建一个 realm，并进入到 realm 中；

image.png

2.3.3 Keycloak Client 的建立

  1. 在 realm 中点击 “Configure-> Clients-> Create”;

image.png

  1. 按照下面的说明输入相关信息；注意选择 Standard Flow Enabled，这将会使 client 的鉴权按照0的 “Authorization Code Flow” 完成，即 OAuth2.0鉴权流程所示。

注意，如没有特别的需求，尽量避免使用 “Implicit Flow” 即关闭 “Implicit Flow Enabled” 。这种方式没有授权码这个中间步骤，所以称为（授权码）”隐藏式”（implicit）。这将会把 Token 直接传给前端，是很不安全的，因此，只能用于一些安全要求不高的场景。

image.png

  1. 在 “Credentials tab” 中，选择 Client Id and Secret，此时会生成一串随机字符串作为Secret。在上文中 OAuth2.0鉴权流程 第6步中交换 Token 的过程中，Secret 将作为 client_secret 的值，在应用客户端的 POST Body 中被发送到 Keycloak Client 中，以确保向 Client 交换的 Token 颁布给了正确的应用客户端。

2.3.4 Keycloak User 的建立

  1. 创建测试用的 User，点击左侧 Manage-> Users-> Add user”；

image.png

  1. 输入 User 信息；

image.png

  1. 设定密码，输入密码，并输入 Password Confirmation，点击 Reset Password 以完成设置。

image.png

2.4 API Gateway Authorizer 的设定
  1. 进入到上文创建的 API Gateway 中，由于我们的目的是在创建 item 时，需要进行 API 鉴权，因此只在 POST /items 的路由上附加授权方即可：

image.png

  1. 输入相关信息；

image.png

  • 身份来源：通常情况下，在请求资源服务器时，会将 JWT Token 写入到请求头中的 Authorization 字段，因此可以保留默认。
  • 发布者 URL：针对 Keycloak 为https://{Keycloak_URL}/auth/realms/{realm}/
  • 受众：关联的受众，此处输入 account

3. 验证 JWT Authorizer

3.1 请求 Auth Code
  1. 根据 OAuth2.0鉴权流程，当用户请求资源时，应用客户端将会向鉴权服务器发送 GET 请求，以请求 Auth Code；
GET https://{Keycloak_URL}/auth/realms/Keycloaksso/protocol/openid-connect/auth?response_type=code&client_id=Keycloak
  1. 在此过程中，鉴权服务器将会返回 Keycloak 的登陆界面，要求用户输入其用户名密码，在此处，我们输入 Keycloak User 的建立章节中创建的 User 的用户名和密码。

image.png

  1. 输入正确的用户名和密码后，Keycloak 将会通过 Query String 返回 Auth Code，如下图所示；

image.png

3.2 交换 JWT Token
  1. 接下来，我们通过 Postman 模仿应用客户端，模拟通过 POST Auth Code 换取 JWT Token 的过程；

image.png

  • client_id: Keycloak的client ID，为 Keycloak Client 的建立 章节中创建；
  • grant_type: 0的鉴权模式，我们通过 authorization code 模式鉴权，这也是最常见的模式；
  • client_secret: 用于 Client 应用客户端的验证；
  • code：Auth Code，由鉴权服务器返回，用于交换 Token。
  1. 将 Postman 的请求用 curl 实现：
curl --location --request POST 'https://{Keycloak_URL}/auth/realms/Keycloaksso/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Cookie: AUTH_SESSION_ID=a0b56dbf-19b0-4d16-b254-c25248834c01.Keycloak-5b7448f8cf-v5wg6; AUTH_SESSION_ID_LEGACY=a0b56dbf-19b0-4d16-b254-c25248834c01.Keycloak-5b7448f8cf-v5wg6; KC_RESTART=eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICIyYjQ0M2Q2ZS00MzNiLTQwYTQtYjdlMi03MDk2Mjg1YTJkYmMifQ.eyJjaWQiOiJrZXljbG9hayIsInB0eSI6Im9wZW5pZC1jb25uZWN0IiwicnVyaSI6IioiLCJhY3QiOiJBVVRIRU5USUNBVEUiLCJub3RlcyI6eyJpc3MiOiJodHRwczovL2F1dGguY2lhdGVzdC50b3AvYXV0aC9yZWFsbXMva2V5Y2xvYWtzc28iLCJyZXNwb25zZV90eXBlIjoiY29kZSJ9fQ.5T6tBz-j7vbfzvhHBpPnQ2ebRqYC69gNF-EMlWmsA8Q' \
--data-urlencode 'client_id=Keycloak' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'client_secret=bba58d29-xxxx-xxxx-xxxx-xxxxxxxxxxxx' \
--data-urlencode 'code=74926370-xxxx-xxxx-xxxx-xxxxxxxxxxxx.xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Response：

    "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldU….eyJleHAiOjE2NTYyNDExOTksImlhdCI6MT….m91pmRMmSnA0D37qF4_...","expires_in": 300,"refresh_expires_in": 1800,"refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCIgOiAiSldU….eyJleHAiOjE2NTYyNDI2OTksImlhdCI6MT….OaDarszhAnyd3NKZTiZ…","token_type": "Bearer","not-before-policy": 0,"session_state": "aa8b66e0-xxxx-xxxx-xxxx-6ff28b1213d5","scope": "profile email"
}
3.3 向 API Gateway 请求创建资源
  1. 通过 Postman 模仿应用客户端，模拟创建 item 的过程；

image.png

  • Authorization：将2中返回的 access_token 粘贴在 Authorization header 中，格式为：Bearer {access_token}
  1. 将 Postman 的请求用 curl 实现：
curl --location --request POST 'https://80iiueir8b.execute-api.us-east-1.amazonaws.com/items' \
--header 'Authorization: Bearer eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldU….eyJleHAiOjE2NTYyNDExOTksImlhdCI6MT….m91pmRMmSnA0D37qF4_...\
--header 'Content-Type: application/json' \
--data-raw '{"title":"nike high heel"}'

Response：

"New Item Created"
  1. 通过浏览器 GET /item 查看 item 是否写入成功：

image.png

4. 总结

由于当前 Cognito 在中国区仍不可用，Keycloak 可以作为一个替代方案，完成用户的单点登录和 API 的鉴权。本 blog 提供了如何结合 API Gateway 的 HTTP API，利用 Keycloak 和 JWT 进行 API 鉴权的演示。通过这种方式，应用客户端在请求 Amazon 资源时，需要通过 Keycloak 服务器进行校验，并换取有效的 JWT Token，以获得访问资源的权限。

如有兴趣了解本文提到的更多技术，请参照：

OAuth2.0 Grant Type

Json Web Token

使用 SAML 和 Keycloak 建立 Amazon SSO 登录 Console

How to secure API Gateway HTTP endpoints with JWT authorizer

本篇作者

李潇翌 亚马逊云科技专业服务团队安全顾问，负责云安全合规、云安全解决方案等的咨询设计及落地实施，致力于为客户上云提供安全最佳实践，并解决客户上云中碰到的安全需求。

文章来源：https://dev.amazoncloud.cn/column/article/630b4bf9269604139cb5e9ed?sc_medium=regulartraffic&sc_campaign=crossplatform&sc_channel=CSDN

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/120847.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Groovy 下载安装

Groovy 下载安装

Groovy 简介 在某种程度上，Groovy 可以被视为Java 的一种脚本化改良版,Groovy 也是运行在 JVM 上，它可以很好地与 Java 代码及其相关库进行交互操作。它是一种成熟的面向对象编程语言，既可以面向对象编程，又可以用作纯粹的脚本语…
阅读更多...
【python零基础入门学习】python基础篇之文件对象open、模块以及函数的使用（三）

【python零基础入门学习】python基础篇之文件对象open、模块以及函数的使用（三）

本站以分享各种运维经验和运维所需要的技能为主 《python》：python零基础入门学习 《shell》：shell学习 《terraform》持续更新中：terraform_Aws学习零基础入门到最佳实战 《k8》暂未更新 《docker学习》暂未更新 《ceph学习》ceph日常问题解…
阅读更多...
leetcode 922. 按奇偶排序数组 II

leetcode 922. 按奇偶排序数组 II

2023.9.4 本题较为简单&#xff0c;构造一个和nums相同大小的数组ans&#xff0c;然后遍历判断nums中的元素&#xff0c;若为奇数则放在ans中的奇数索引位置&#xff0c;偶数则放在ans中的偶数索引位置。 代码如下&#xff1a; class Solution { public:vector<int> sor…
阅读更多...
智能安全帽~生命体征检测与危险气体检测一体化集成设计还是蓝牙无线外挂式方式好？

智能安全帽~生命体征检测与危险气体检测一体化集成设计还是蓝牙无线外挂式方式好？

生命体征&#xff08;心率、血氧等&#xff09;检测&上报平台&#xff0c;危险气体采集&上报平台&#xff0c;是智能安全帽产品中常见的两种选配件&#xff0c;它们的实现有两种典型的模式&#xff1a; 1&#xff09;将传感器集成到主板上&#xff0c;做成一体化的智能…
阅读更多...
三维模型OBJ格式轻量化的数据压缩与性能平衡分析

三维模型OBJ格式轻量化的数据压缩与性能平衡分析

三维模型OBJ格式轻量化的数据压缩与性能平衡分析 三维模型的OBJ格式轻量化数据压缩在保持性能的同时&#xff0c;可以减小文件大小、提高加载速度和节省存储空间。然而&#xff0c;在进行数据压缩时&#xff0c;需要权衡压缩比率和模型质量之间的关系&#xff0c;并考虑不同应用…
阅读更多...
AIGC+思维导图：提升你的学习与工作效率的「神器」

AIGC+思维导图：提升你的学习与工作效率的「神器」

目录 一、产品简介 二、功能介绍 2.1 AI一句话生成思维导图 2.2百万模版免费用 2.3分屏视图&#xff0c;一屏读写 2.4团队空间&#xff0c;多人协作 2.5 云端跨平台化 2.6 免费够用&#xff0c;会员功能更强大 2.7 支持多种格式的导入导出 三、使用教程 3.1 使用AI…
阅读更多...
【Linux】高级IO和多路转接 | select/poll/epoll

【Linux】高级IO和多路转接 | select/poll/epoll

多路转接和高级IO 咳咳&#xff0c;写的时候出了点问题&#xff0c;标点符号全乱了&#xff08;批量替换了几次&#xff09;&#xff0c;干脆就把全文的逗号和句号都改成英文的了&#xff08;不然代码块里面的代码都是中文标点就跑不动了&#xff09; 1.高级IO 1.1 五种IO模型…
阅读更多...
Android逆向学习（番外一）smali2java部分文件无法反编译的bug与修复方法

Android逆向学习（番外一）smali2java部分文件无法反编译的bug与修复方法

Android逆向学习&#xff08;番外一&#xff09;smali2java部分文件无法反编译的bug与修复方法 一、前言 昨天我和往常一样准备着android逆向&#xff08;四&#xff09;的博客&#xff0c;结果发现smali2java对某些文件无法进行逆向&#xff0c;我不知道windows会不会产生这…
阅读更多...
【数据结构初阶】一. 复杂度讲解

【数据结构初阶】一. 复杂度讲解

相关代码gitee自取&#xff1a; C语言学习日记: 加油努力 (gitee.com) 接上期&#xff1a; 学C的第三十四天【程序环境和预处理】_高高的胖子的博客-CSDN博客 1 . 算法效率 &#xff08;1&#xff09;. 什么是数据结构&#xff1a; 数据结构(Data Structure)是计算机存储、…
阅读更多...
联发科MTK6762/MT6762核心板_安卓主板小尺寸低功耗4G智能模块

联发科MTK6762/MT6762核心板_安卓主板小尺寸低功耗4G智能模块

MT6762安卓核心板是一款基于MTK平台的高性能智能模块&#xff0c;是一款工业级的产品。该芯片也被称为Helio P22。这款芯片内置了Arm Cortex-A53 CPU&#xff0c;最高可运行于2.0GHz。同时&#xff0c;它还提供灵活的LPDDR3/LPDDR4x内存控制器&#xff0c;此外&#xff0c;Medi…
阅读更多...
什么是专线网络？互联网专线为什么贵

什么是专线网络？互联网专线为什么贵

宽带主要分为专线和家庭宽带。一般来说&#xff0c;企业服务器和云服务提供商通常使用专线宽带&#xff0c;普通家庭接入家庭宽带。 什么是专线网络&#xff1f; 专线是指依托国内骨干网络和宽带城市网络资源&#xff0c;为企业集团客户提供专线接入方式互联网城市互联网&…
阅读更多...
Github 下载指定文件夹（git sparse-checkout）

Github 下载指定文件夹（git sparse-checkout）

比如要下载这里的 data_utils 步骤 1、新建空文件夹&#xff0c;并进入新建的空文件夹。 2、git init 初始化 3、git remote add origin 添加远程仓库 4、git config core.sparsecheckout true 允许稀疏检出 5、git sparse-checkout set 设置需要拉取的文件夹&#xff08;可…
阅读更多...
如何通过Pytest的插件，轻松切换自动化测试的环境地址？

如何通过Pytest的插件，轻松切换自动化测试的环境地址？

前言 前面小编介绍了如何通过Pytest的插件来实现自动化测试的环境的切换&#xff0c;当时使用的方法是通过钩子函数进行获取命令行参数值&#xff0c;然后通过提前配置好的参数进行切换测试环境地址。加我VX&#xff1a;atstudy-js 回复“测试”&#xff0c;进入 自动化测试学…
阅读更多...
浅谈一下酒吧和酒馆的不同

浅谈一下酒吧和酒馆的不同

相信有很多朋友还不怎么清楚酒吧和酒馆的区别是什么&#xff0c;这里为大家简单介绍一下两者的不同&#xff0c;个人见解&#xff0c;如有错漏&#xff0c;欢迎指出。一、首先是他们的经营范围不同酒馆经营通常包含酒水和餐饮&#xff0c;适合朋友聚会或者是和商业伙伴聊天。而…
阅读更多...
14.Redis 主从复制

14.Redis 主从复制

Redis 主从复制 redis 主从复制配置 redis 主从复制启动 redis 主从复制断开 redis 主从复制主从复制构特点主从复制的拓扑结构一主一从⼀主多从树状主从 主从复制原理数据同步psync 运行流程全量复制流程部分复制流程实时复制 关于从节点何时晋升成主节点总结 redis 主从复制 …
阅读更多...
操作系统（OS）与系统进程

操作系统（OS）与系统进程

操作系统&#xff08;OS&#xff09;与系统进程 冯诺依曼体系结构操作系统(Operator System)进程基本概念进程的描述&#xff08;PCB&#xff09;查看进程通过系统调用获取进程标示符&#xff08;PID&#xff09;通过系统调用创建进程&#xff08;fork&#xff09;进程状态&…
阅读更多...
【Linux】线程池

【Linux】线程池

一、概念 1.线程池是一种利用池化技术思想来实现的线程管理技术&#xff0c;主要是为了复用线程、便利地管理线程和任务、并将线程的创建和任务的执行解耦开来。我们可以创建线程池来复用已经创建的线程来降低频繁创建和销毁线程所带来的资源消耗。 2.线程池是一种线程使用模式…
阅读更多...
OpenCV:实现图像的负片

OpenCV:实现图像的负片

负片 负片是摄影中会经常接触到的一个词语&#xff0c;在最早的胶卷照片冲印中是指经曝光和显影加工后得到的影像。负片操作在很多图像处理软件中也叫反色&#xff0c;其明暗与原图像相反&#xff0c;其色彩则为原图像的补色。例如&#xff0c;颜色值A与颜色值B互为补色&#…
阅读更多...
陶氏公司将出席2023第二届中国汽车碳中和峰会

陶氏公司将出席2023第二届中国汽车碳中和峰会

2023第二届中国汽车碳中和峰会将于10月19日-20日在上海举办。 本次峰会将为行业领导者、政策制定者和专家提供一个平台&#xff0c;讨论汽车行业减少碳排放的策略。专家们将从政策、供应链、ESG、替代能源解决方案、汽车材料创新、法律等不同领域分享碳中和与可持续策略。 通…
阅读更多...
volatile+SIGCHLD信号+可重入函数（了解）

volatile+SIGCHLD信号+可重入函数（了解）

索引 volatile1.gcc -O含义及其作用2.证明其内存可见性 深入理解SIGCHLD信号SIGCHLD总结 可重入函数 volatile 保存内存的可见性&#xff0c;告知编译器&#xff0c;该关键字修饰的变量不允许被优化&#xff0c;对该变量的任何操作都必须在内存中操作。 1.gcc -O含义及其作用…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023