JSON Web トークン (JWT)

JSON Web トークン (JWT) は、JSON オブジェクトとしてフォーマットされた認証情報を安全に送信するために使用されます。

JWT は発行者によってデジタル署名されるため、パスワードを Db2®に公開することなく、署名を検証することで認証目的で使用できます。 JWT 内のクレームは、ユーザーの ID Db2を識別します。

一般には、アプリケーションを介してユーザーがログインするときに JWT を生成するのは ID プロバイダー (IDP) 製品です。ただし、個々のアプリケーション自体で JWT を作成することも可能です。 Db2 は JWT を検証できますが、JWT を生成する方法は提供しません。

JWT ワークフローのダイアグラム

JWT の発行者は、トークンの「iss」クレームに指定する必要があります。 JWT の署名を検証するための鍵を見つけるには、トークン構成ファイル (db2token.cfg) の JWT_IDP_ISSUER パラメーターに、完全に一致する発行者が指定されていなければなりません。 鍵の保持にはタイプ PKCS#12 のローカル鍵ストア・ファイル (*.p12) が使用されます。このファイルの場所を、トークン構成ファイルに構成しておく必要があります。

Db2 は、暗号化された JWT をサポートしません。 ネットワーク経由で送信された JWT を保護するには、TLS/SSL を使用することを強くお勧めします。

Db2 が、示されたアルゴリズムで署名されたトークンを検証するには、適切な鍵を構成する必要があります。 HS256、HS384、または HS512 を使用する場合は、JWT の署名に使用された秘密鍵を構成する必要があります。 RSA 署名アルゴリズムごとに、適切な公開鍵が含まれている証明書を構成する必要があります。 これらの鍵のラベルは、db2token.cfg ファイルで指定します。

トークン・ホルダーの ID を判別するために、 Db2 はトークン自体の内容を調べます。 トークン内のどのクレームにユーザー ID が入っているかは、トークン構成ファイルの JWT_IDP_AUTHID_CLAIM パラメーターで判別します。 このクレームは、 Db2内のユーザーの許可 ID と見なされます。 必須ではありませんが、このクレームには「sub」 (サブジェクト) または「username」という名前がよく付けられます。 多くの場合、個々の IDP は、生成する JWT をカスタマイズする機能を持っているので、「db2authid」などのクレームを生成することもできます。

許可 ID クレームで指定された値に対しては、何の処理も実行されません。 例えば、E メール・アドレスが指定されたクレームが、ユーザー名とドメインの部分に分けられることはありません。そのまま全体が保持されます。

JWT が生成されると、多くの場合、リフレッシュ・トークンも生成されます。 Db2 は、有効期限が切れていない新しい JWT を取得するためのリフレッシュ・トークンの使用をサポートしていません。

Db2 は、JWT からグループ情報やその他の許可の詳細を取得しません。 ユーザーのグループの取得には、標準のグループ・プラグインが使用されます。

JWT を Db2 で検証するには、以下のプロパティーが必要です。

• 「typ」クレームがトークン・ヘッダーに存在する場合には、値 JWT が必要です。 クレームはオプションであり、必須ではありません。
• サポートされるアルゴリズムの「alg」クレーム、および db2token.cfg ファイルに鍵が適切に構成されていること
• db2token.cfg ファイル内の発行者と一致する「iss」クレーム。
• ユーザーの許可 ID を指定する JWT_IDP_AUTHID_CLAIM クレーム。
• 有効期限が切れていない値が指定された「exp」クレーム。

JWT には他のクレームを含めることができますが、 Db2はそれらのクレームを無視します。

JWT ヘッダーとクレームの例を以下に示します。

{
   "alg": "RS256",
   "typ": "JWT"
}

{
   "username": "admin",
   "sub": "admin",
   "iss": "KNOXSSO",
   "aud": "DSX",
   "role": "Admin",
   "permissions": [
     "administrator",
     "can_provision"
   ],
   "uid": "1000330999",
   "authenticator": "default",
   "display_name": "admin",
   "iat": 1579286619,
   "exp": 1579329819
 }