節約プログラマー雑記

ヘッダーとペイロードの設定ができたら、上記をダウンロードした秘密鍵で署名を行い、JWTを作成します。以下のソースはGoogleのサンプルソースを参考に、JWTを自動で生成するpythonのスクリプトになります。

JWT作成

#!/usr/bin/env python

import time
import json
import jwt


# 秘密鍵
key = "ダウンロードファイルの「private_key」の値"

#JWTの設定値
head = {
    "alg": "RS256",
    "typ": "JWT"
}
sa_email='サービスアカウントのメールアドレス'
audience='Cloud FunctionのURL'

#JWT生成処理
def plain_jwt(expiry_length=3600):

    """Generates a signed JSON Web Token using a Google API Service Account."""

    now = int(time.time())

    global head
    global sa_email
    global audience

    #ペイロード部分
    payload = {
        'iat': now,
        "exp": now + expiry_length,
        'iss': sa_email,
        'aud':  'https://www.googleapis.com/oauth2/v4/token',
        'sub': sa_email,
        'target_audience':audience
    }

    token = jwt.encode(payload,key,algorithm="RS256",headers=head)

    return token

#メイン部分
if __name__ == '__main__':
    expiry_length = 3600
    plain = plain_jwt(expiry_length)
    print(plain)

上記を実行するとJWTのトークンが標準出力されるので、それをコピーして、Fiddlerなどに貼り付けて下記のように貼り付けて、「https://www.googleapis.com/oauth2/v4/token」に送信します。

問題が無ければ、id_token="GCPで認証されたJWT”というレスポンスがJSON形式で帰ってきます。それをコピーして、今度はCloud FunctionのURLに送信すると、認証が通って、下記のようにCloud Function側から「Hello World!」の文字が返却されることが確認できました。

4. 最後に

JWT認証でCloud Functionを実行する方法を紹介しました。JWTを使った基本的な認証方法なので、Google Cloudのライブラリが使えない場面でも、直接Cloud Functionを起動できるようになるのが、一番のメリットだと思います。

ただ、認証するに当たって、一回余計に通信をしなければいけないのが、少し面倒くさい点ではありますね。API Gatewayを使えば同じ方式でも、一回の通信で処理できるようになるので、近いうちにその方法についても書いていきたいと思います。