서버 간 애플리케이션에 OAuth 2.0 사용

JWT 만들기

JWT는 헤더, 클레임 세트, 서명합니다. 헤더와 클레임 세트는 JSON 객체입니다. 이러한 JSON 객체는 UTF-8 바이트로 변환되고 Base64url 인코딩을 사용하여 인코딩됩니다. 이 인코딩은 발생할 수 있습니다. 헤더, 소유권 주장 집합 및 서명은 마침표 (.) 문자로 연결됩니다.

JWT는 다음과 같이 구성됩니다.

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

서명의 기본 문자열은 다음과 같습니다.

{Base64url encoded header}.{Base64url encoded claim set}

JWT 헤더 작성

헤더는 서명 알고리즘, 어설션, [서비스 계정의 키 ID] key](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys) JWT를 서명하는 데 사용되었습니다 알고리즘과 형식은 필수이며 각 입력란에는 값이 1개여야 합니다. 추가 알고리즘과 형식이 도입되면 이 헤더는 변경됩니다. 변경할 수 있습니다 키 ID는 선택사항이며 잘못된 키 ID가 지정되면 GCP에서 시도합니다. 토큰을 확인하고 서비스 계정에 연결된 모든 키를 가져와서 거부 유효한 키가 없습니다. Google은 잘못된 키 ID가 포함된 토큰을 거부할 권리를 보유합니다. 있습니다.

서비스 계정은 RSA SHA-256 알고리즘 및 JWT 토큰 형식을 사용합니다. 그 결과 헤더의 JSON 표현은 다음과 같습니다.

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

Base64url 표현은 다음과 같습니다.

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

JWT 클레임 세트 형성

JWT 클레임 세트에는 사용 중인 권한 등 JWT에 대한 정보가 들어 있습니다. 토큰의 대상, 발급자, 토큰이 발급된 시간, 토큰의 수명을 나타냅니다. 대부분의 입력란은 필수입니다. JWT 헤더와 마찬가지로 JWT 클레임 세트는 JSON 객체이며 서명 계산에 사용됩니다.

필수 클레임

JWT 클레임 집합의 필수 클레임은 아래와 같습니다. 순서와 상관없이 표시될 수 있습니다. 확인할 수 있습니다

JWT 클레임 집합에서 필수 필드의 JSON 표현은 다음과 같습니다.

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

추가 주장

기업에 따라 애플리케이션이 도메인 전체 위임을 사용하여 작업을 대신 수행할 수 있습니다. 특정 사용자의 액세스 권한을 관리하는 데 사용됩니다 이 유형의 가장을 수행할 수 있는 권한 은 애플리케이션이 사용자를 가장하기 전에 부여되어야 하며 일반적으로 최고 관리자입니다. 자세한 내용은 도메인 전체 위임으로 API 액세스 제어하기

리소스에 대해 위임된 액세스 권한을 애플리케이션에 부여하는 액세스 토큰을 가져오려면 다음 안내를 따르세요. JWT 클레임 세트에 사용자의 이메일 주소를 sub 필드

애플리케이션에 사용자를 가장할 수 있는 권한이 없는 경우 sub 필드가 포함된 액세스 토큰 요청은 오류가 반환됩니다.

sub 필드가 포함된 JWT 클레임 집합의 예가 나와 있습니다. 아래:

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

JWT 클레임 집합 인코딩

JWT 헤더와 마찬가지로 JWT 클레임 세트는 UTF-8 및 Base64url-safe로 직렬화되어야 합니다. 인코딩됩니다. 다음은 JWT 클레임 집합의 JSON 표현 예시입니다.

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

서명 계산

JSON 웹 서명 JWS(JWS)는 JWT입니다. 서명 입력은 다음 콘텐츠의 바이트 배열입니다.

{Base64url encoded header}.{Base64url encoded claim set}

서명을 계산할 때는 JWT 헤더의 서명 알고리즘을 사용해야 합니다. 이 Google OAuth 2.0 승인 서버에서 지원하는 서명 알고리즘은 SHA-256 해싱 알고리즘. 이는 alg에서 RS256로 표현됩니다. 필드를 설정할 수 있습니다.

SHA256withRSA( RSASSA-PKCS1-V1_5-SIGN(SHA-256 해시 함수 포함) Google API Console출력은 바이트 배열입니다.

그런 다음 서명은 Base64url로 인코딩되어야 합니다. 헤더, 클레임 세트 및 서명은 마침표 (.) 문자를 함께 사용하면 됩니다. 결과는 JWT입니다. 그것은 다음과 같아야 합니다 (명확하게 하기 위해 줄바꿈 추가됨).

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

다음은 Base64url 인코딩 전 JWT의 예입니다.

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

다음은 서명되어 전송 준비가 된 JWT의 예입니다.

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

액세스 토큰 요청 실행

애플리케이션은 서명된 JWT를 생성한 후 이를 사용하여 액세스 토큰을 요청할 수 있습니다. 이 액세스 토큰 요청은 HTTPS POST 요청이며 본문은 URL입니다. 인코딩됩니다. URL은 다음과 같습니다.

https://oauth2.googleapis.com/token

다음 매개변수는 HTTPS POST 요청에 필요합니다.

다음은 액세스 토큰에 사용된 HTTPS POST 요청의 원시 덤프입니다. 요청:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

다음은 curl를 사용한 동일한 요청입니다.

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

응답 처리

JWT 및 액세스 토큰 요청의 형식이 올바르고 서비스 계정에 작업을 수행할 수 있는 권한이 있어야만 승인 서버의 JSON 응답이 액세스 토큰이 포함됩니다 다음은 응답 예시입니다.

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

액세스 토큰은 expires_in 값입니다.

액세스 토큰 만료 시

Google OAuth 2.0 인증 서버에서 발급한 액세스 토큰은 이 기간 후 만료됩니다. expires_in 값으로 제공됨 액세스 토큰이 만료되면 다른 JWT를 생성하여 서명하고 다른 액세스 토큰을 요청해야 합니다.