旧バージョンのドキュメントを参照しています。最新のドキュメントはこちらをご参照ください。

Key Authentication

認証とは、申請者がリソースにアクセスする権限を所有していることを確認するプロセスです。名前が物語るように、APIゲートウェイ認証では、アップストリームサービスとの間のデータフローが認証されます。

Kong Gatewayには、最も広範に使用されているAPIゲートウェイ認証方法をサポートするプラグインライブラリがあります。

一般的な認証方法は次のとおりです。

Key Authentication
Basic Authentication
OAuth 2.0 Authentication
LDAP Authentication Advanced
OpenID Connect

認証のメリット

Kong Gatewayが認証を制御している場合、クライアントが正常に認証しないかぎり、リクエストはアップストリームのサービスに届きません。つまり、アップストリームサービスは事前に承認されたリクエストを処理することで、認証のコストから解放され、計算時間 および 開発工数が削減されます。

Kong Gatewayはすべての認証試行を可視化し、監視とアラート機能のサポートサービスの可用性とコンプライアンスを構築する能力を提供します。

詳細については、APIゲートウェイ認証とはを参照してください。

認証を有効化

次のチュートリアルでは、Kong Gatewayのさまざまな側面においてKey Authenticationプラグインを有効化する方法について説明します。

API Key Authenticationは、API認証を実施するための一般的な方法です。Key Authenticationでは、 Kong Gatewayを使用してAPI キーを生成し、コンシューマに関連付けます。このキーは、後続のリクエストを行うときにクライアントが提示する認証シークレットです。Kong Gatewayは、提示されたキーの有効性に基づいてリクエストを承認または拒否します。このプロセスは、グローバルに適用することも、個々のサービスやルートルートに適用することもできます。

前提条件

この章は、「 Get Started with Kong 」シリーズの一部です。最適な効果を得るために、シリーズを最初からご覧になることをお勧めします。

まずは、導入としてGet Kongから始めましょう。ここには、ローカルKong Gatewayを実行するためのツールの前提条件と手順が含まれています。

ガイドの手順2のサービスとルートには、このシリーズで使われているモックサービスのインストール方法が記載されています。

これらの手順をまだ完了していない場合は、続行する前に完了してください。

コンシューマとキーを設定

Kong GatewayのKey Authenticationは、コンシューマオブジェクトを使用して機能します。キーはコンシューマに割り当てられ、クライアントアプリケーションは、リクエストの中でキーを提示します。

新しいコンシューマを作成します

このチュートリアルでは、ユーザー名lukaを持つ新しいコンシューマを作成します。
```
curl -i -X POST http://localhost:8001/consumers/ \
  --data username=luka
```
コンシューマが作成されたことを示す 201 レスポンスが返されます。
コンシューマにキーを割り当てる

プロビジョニングが完了したら、Admin API を呼び出して、新しいコンシューマーにキーを割り当てます。このチュートリアルでは、キーの値を top-secret-key に設定します。
```
curl -i -X POST http://localhost:8001/consumers/luka/key-auth \
  --data key=top-secret-key
```
キーが作成されたことを示す 201 レスポンスが返されます。

この例では、キーの内容を明示的にtop-secret-keyに設定しています。 keyフィールドを指定しない場合は、 Kong Gatewayによってキー値が生成されます。

警告：このチュートリアルのために、サンプルのキー値を割り当てました。APIゲートウェイに複雑なキーを自動生成させることをお勧めします。テスト用または既存のシステムを移行する場合にのみキーを指定します。

グローバルキー認証

プラグインをグローバルにインストールすると、Kong Gatewayに対する すべての プロキシリクエストがKey Authenticationで保護されます。

Key Authenticationを有効化

Key AuthenticationプラグインはデフォルトでKong Gatewayにインストールされており、 Admin APIのプラグインオブジェクトにPOSTリクエストを送信して有効にすることができます。
```
curl -X POST http://localhost:8001/plugins/ \
    --data "name=key-auth"  \
    --data "config.key_names=apikey"
```
プラグインがインストールされたことを示す201応答を受け取ります。

上記のリクエストのkey_names設定フィールドは、リクエストを認証するときにプラグインがキーを読み取るために検索するフィールドの名前を定義します。プラグインはヘッダー、クエリ文字列パラメータ、リクエスト本文でフィールドを検索します。
認証されていないリクエストの送信

キーを渡さずにサービスにアクセスしてみてください。
```
curl -i http://localhost:8000/mock/anything
```
Key Authenticationをグローバルに有効にしたため、不正な応答が届きます。
```
HTTP/1.1 401 Unauthorized
...
{
    "message": "No API key found in request"
}
```

間違ったキーの送信

不正なキーでサービスにアクセスしてみてください。

curl -i http://localhost:8000/mock/anything \
  -H 'apikey:bad-key'

不正な応答を受信します。

HTTP/1.1 401 Unauthorized
...
{
  "message":"Invalid authentication credentials"
}

有効なリクエストを送信します

apikey ヘッダーに有効なキーを設定してリクエストを送信します。
```
curl -i http://localhost:8000/mock/anything \
  -H 'apikey:top-secret-key'
```
200 OK応答が届きます。

サービスベースのKey Authentication

Key Authenticationプラグインは特定のサービスに対して有効にできます。リクエストは上記と同じですが、POST リクエストはサービス URL に送信されます。

curl -X POST http://localhost:8001/services/example_service/plugins \
  --data name=key-auth

ルートベースのKey Authentication

Key Authenticationプラグインは特定のルートに対して有効にできます。リクエストは上記と同じですが、 POSTリクエストはルートURLに送信されます。

curl -X POST http://localhost:8001/routes/example_route/plugins \
  --data name=key-auth

（オプション）プラグインを無効化

この入門ガイドをセクションごとに進行する場合、今後のすべてのリクエストでこのAPIキーを使用する必要があります。キーを指定し続けたくない場合は、先に進む前にプラグインを無効にします。

Key Authentication プラグイン ID を見つけます
```
curl -X GET http://localhost:8001/plugins/
```
次のスニペットのような、idフィールドを含むJSON応答が返されます。
```
...
"id": "2512e48d9-7by0-674c-84b7-00606792f96b"
...
```
プラグインの無効化

上記で取得したプラグインIDを使用して、インストールされたKey AuthenticationプラグインのenabledフィールドにPATCHを適用します。リクエストは、適切なプラグインIDを置き換えると次のようになります。
```
curl -X PATCH http://localhost:8001/plugins/2512e48d9-7by0-674c-84b7-00606792f96b \
  --data enabled=false
```
無効な認証のテスト

これで、API キーを指定せずにリクエストを行うことができます。
```
curl -i http://localhost:8000/mock/anything
```
次のように表示されます。
```
HTTP/1.1 200 OK
```

前へプロキシキャッシュ

次へロードバランシング