JWKsエンドポイント

id_tokenの署名を検証するための公開鍵のmodulus(絶対値)とexponent(指数値)を返却するエンドポイント
- JSON Web Key (JWK)：署名鍵を表現するためのJSONデータ構造

リクエスト

Keycloak例

GET /auth/realms/master/protocol/openid-connect/certs HTTP/1.1
Host: localhost:8080

レスポンス

Keycloak例

{
    "keys": [
        {
            "kid": "QSiaBQwkRZ9vqJgGv2byfTppJyeJT9mkxENgbxttoT8",
            "kty": "RSA",
            "alg": "RS256",
            "use": "sig",
            "n": "jKv0hkM...b9VvYIJ9hG8xN6zOQ",
            "e": "AQAB",
            "x5c": [
                "MIIC.....DyPe2E="
            ],
            "x5t": "9MMflCR5h-VY2D4HZx_kZ_L64XM",
            "x5t#S256": "DOiv2PKlM9QyI97gyUGl_95EULW9kyrv1ocAbxn1Q6M"
        },
        {
            "kid": "oYNqQTimc0dJfz7JFKNCwqgWC5Fp26eidiNcva6Nfn8",
            "kty": "RSA",
            "alg": "RS256",
            "use": "enc",
            "n": "mJNKSuJ...69NGCQ",
            "e": "AQAB",
            "x5c": [
                "MIICmzCCAYMCBgF8.../S2ZUocM="
            ],
            "x5t": "s7q4K84XS_OT4kRhwY-dPBGDeQU",
            "x5t#S256": "NbJVyOEgN_P5tJ0AO8bKX8vK2Loaw1PSQrlSS3YMhc4"
        }
    ]
}

パラメータ

パラメーター名	説明
keys	JWK配列
kid	鍵識別子 ID TokenのHeaderに含まれているKey ID。署名に利用した秘密鍵の対になる公開鍵を判定するために利用。
kty	RSAやEC等の暗号アルゴリズムファミリー
use	公開鍵の用途
alg	署名検証アルゴリズム
x5c	PKIX証明書からなるJSON 配列それぞれの証明書文字列は base64 エンコードされた値で表現される※base64url エンコードではない当該JWK の鍵を含む PKIX 証明書は先頭の証明書である必要がある
x5t	DER エンコードされた X.509 証明書の SHA-1 thumbprintの base64url エンコード値当該証明書に含まれる鍵は当該 JWK の示す公開鍵と一致する
x5t#S256	DER エンコードされた X.509 証明書の SHA-256 thumbprint の base64url エンコード値当該証明書に含まれる鍵は当該 JWK の示す公開鍵と一致する
n	modulus 公開鍵を復元するための公開鍵の絶対値
e	exponent 公開鍵を復元するための指数値

`id_token`署名検証の流れ

id_tokenを取得
id_tokenをパース
id_tokenからalg、kidを取得
JWKsエンドポイントへリクエストして公開鍵を取得
4で取得したkeys配列にあるkidと3で取得したkidが一致するものを取得
kidと対応するnとeも取得
nとe、algを利用して公開鍵を作成
7で作成した鍵を使用してid_tokenを検証

PyJWTを用いてid_token検証を行う例

import jwt
from jwt import PyJWKClient
def get_payload_from_id_token(id_token):
    # Keycloak JWKs Endpoint URL
    url = f"{KEYCLOAK_BASE_URL_CONTAINER_NAME}auth/realms/{KEYCLOAK_REALM_NAME}/protocol/openid-connect/certs"
    # JWKs Endpoint Client 
    jwks_client = PyJWKClient(url)
    # Signing Key
    signing_key = jwks_client.get_signing_key_from_jwt(id_token)
    # Decoding id_token by Signing Key
    payload = jwt.decode(id_token, signing_key.key, algorithms=["RS256"],audience=APP_CLIENT_ID)
    return payload

参考情報