gRPC で認証処理を実装する #Go

grpc で認証処理を実装する

interceptorを使って実装すると、良さそう
- interceptor 自体は middleware 的な立ち回りをしてくれる

実装

grpc-ecosystem にライブラリが用意されているのでそれを使っていく
- go-grpc-middleware/auth
- 基本的には Client に PW を付与して、それをリクエスト時に投げてもらい、interceptor 内でチェックします
- 実際に書くのは以下のようなコード


grpcServer = grpc.NewServer(
            grpc_middleware.WithUnaryServerChain(
                grpcMetrics.UnaryServerInterceptor(),
                grpc_recovery.UnaryServerInterceptor(opts...),
                                // ここでChain
                grpc_auth.UnaryServerInterceptor(AuthFunc),
            ),
        )

// AuthFunc は go-grpc-middleware/auth で使用する認証用の関数
// この関数自体は別のパッケージに切り出しても良い
func AuthFunc(ctx context.Context) (context.Context, error) {
    // ここでClientから投げられた認証ヘッダの値を取得
    key, err := grpc_auth.AuthFromMD(ctx, "bearer")
    if err != nil {
        return nil, err
    }

    // ここでは"password"ハードコーディングだけど、この手前でDBアクセスしたりして任意のパスを取得したりしても良い
    if key != "password" {
        return nil, grpc.Errorf(codes.Unauthenticated, "invalid api password")
    }

    // context に Client の情報を詰めて返す
    newCtx := context.WithValue(ctx, "result", "ok")
    return newCtx, nil
}

grpc_auth.UnaryServerInterceptor(AuthFunc)に渡す AuthFunc は以下の型を返す関数なら中身はどうでもいいっぽい
- type AuthFunc func(ctx context.Context) (context.Context, error)
  - https://godoc.org/github.com/grpc-ecosystem/go-grpc-middleware/auth#AuthFunc
AuthFuncの中で、やりたいように認証処理を実装していく
- AuthFromMDは指定した文字列をキーにリクエスト認証ヘッダからバリューを取得してくれる
  - MD は MetaData かと思われる
- 認証ヘッダを使わない場合は、普通にhttpリクエストヘッダを使ってバリューを取得する
- よければ context を返し、ダメならエラーを返すとライブラリ側でうまいことUnaryServerInterceptorかエラーを返してくれる

github.com/grpc-ecosystem/go-grpc-middleware/blob/master/auth/auth.go

func UnaryServerInterceptor(authFunc AuthFunc) grpc.UnaryServerInterceptor {
    return func(ctx context.Context, req interface{}, info *grpc.UnaryServerInfo, handler grpc.UnaryHandler) (interface{}, error) {
        var newCtx context.Context
        var err error
        if overrideSrv, ok := info.Server.(ServiceAuthFuncOverride); ok {
            newCtx, err = overrideSrv.AuthFuncOverride(ctx, info.FullMethod)
        } else {
            newCtx, err = authFunc(ctx)
        }
        if err != nil {
            return nil, err
        }
        return handler(newCtx, req)
    }
}

使ってみる

grpcurl してみて、ちゃんと認証処理が挟まるかチェック
- grpcurl -plaintext -import-path . -proto proto/hello.proto -d '{"name": "hoge"}' -H "Authorization: bearer password" localhost:5000 hello.HelloService/Hello

所感

grpc.UnaryServerInterceptor を返す部分と、認証ヘッダからバリューを取得する処理を自前で書かなくていい分楽かな
とはいえ全部自分で実装してもそんなに手間でもない気がする

特定メソッドだけ認証をスキップしたい

例えばヘルスチェックは認証をスキップしたい、みたいな場合はServiceAuthFuncOverrideが使える
- 以下の interface の実装が grpc server に実装されていれば、AuthFuncより優先的にこちらがコールされる（オーバーライドと書いてあるが、実際には実装があるか否かの分岐が入っているっぽい）


type ServiceAuthFuncOverride interface {
    AuthFuncOverride(ctx context.Context, fullMethodName string) (context.Context, error)
}

fullMethodNameが grpc のサービスとメソッドの情報を持っているので、少なくともメソッドの粒度で何かしらの分岐が可能


func (s *Server) AuthFuncOverride(ctx context.Context, fullMethodName string) (context.Context, error) {
    // HealthCheck がコールされた場合は認証のチェックを skip する
    if fullMethodName == "/hoge_proto.HogeService/HealthCheck" {
        return ctx, nil
    }

    // 認証チェック処理
    // ~~省略~~

    return ctx, nil
    }