Kebijakan VerifyJWS

Halaman ini berlaku untuk Apigee dan Apigee hybrid.

Lihat dokumentasi Apigee Edge.

Apa

Memverifikasi tanda tangan pada JWS yang diterima dari klien atau sistem lain. Kebijakan ini juga mengekstrak header ke dalam variabel konteks sehingga kebijakan atau kondisi berikutnya dapat memeriksa nilai tersebut untuk membuat keputusan otorisasi atau pemilihan rute. Lihat ringkasan kebijakan JWS dan JWT untuk pengantar mendetail.

Jika JWS diverifikasi dan valid, permintaan akan diizinkan untuk dilanjutkan. Jika tanda tangan JWS tidak dapat diverifikasi atau jika JWS tidak valid karena beberapa jenis error, semua pemrosesan akan berhenti dan error akan ditampilkan dalam respons.

Kebijakan ini adalah Kebijakan yang dapat diperluas dan penggunaan kebijakan ini mungkin memiliki implikasi biaya atau penggunaan, bergantung pada lisensi Apigee Anda. Untuk informasi tentang jenis kebijakan dan implikasi penggunaan, lihat Jenis kebijakan.

Untuk mempelajari bagian-bagian JWS dan cara dienkripsi serta ditandatangani, lihat RFC7515.

Catatan: Video berikut menampilkan Editor Proxy klasik di UI Apigee. Apigee memperkenalkan versi baru Editor Proxy, yang memiliki desain berbeda dari versi klasik yang ditampilkan dalam video.

Video

Tonton video singkat untuk mempelajari cara memverifikasi tanda tangan di JWS. Meskipun video ini khusus untuk memverifikasi JWT, banyak konsep yang sama untuk JWS.

Contoh

• Memverifikasi JWS terlampir yang ditandatangani dengan algoritma HS256
• Memverifikasi JWS terpisah yang ditandatangani dengan algoritma RS256

Memverifikasi JWS terlampir yang ditandatangani dengan algoritma HS256

Contoh kebijakan ini memverifikasi JWS terlampir yang ditandatangani dengan algoritma enkripsi HS256, HMAC menggunakan checksum SHA-256. JWS diteruskan dalam permintaan proxy menggunakan parameter formulir bernama JWS. Kunci ini terdapat dalam variabel bernama private.secretkey.

JWS yang dilampirkan berisi header, payload, dan tanda tangan yang dienkode:

header.payload.signature

Konfigurasi kebijakan mencakup informasi yang diperlukan Apigee untuk mendekode dan mengevaluasi JWS, seperti tempat menemukan JWS (dalam variabel alur yang ditentukan dalam elemen <Source>), algoritma penandatanganan yang diperlukan, dan tempat menemukan kunci rahasia (disimpan dalam variabel alur Apigee, yang dapat diambil dari KVM Apigee, misalnya).

<VerifyJWS name="JWS-Verify-HS256">
    <DisplayName>JWS Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
</VerifyJWS>

Kebijakan menulis output-nya ke variabel konteks sehingga kebijakan atau kondisi berikutnya di proxy API dapat memeriksa nilai tersebut. Lihat Variabel alur untuk mengetahui daftar variabel yang ditetapkan oleh kebijakan ini.

Memverifikasi JWS terpisah yang ditandatangani dengan algoritma RS256

Contoh kebijakan ini memverifikasi JWS terpisah yang ditandatangani dengan algoritma RS256. Untuk memverifikasi, Anda harus memberikan kunci publik. JWS diteruskan dalam permintaan proxy menggunakan parameter formulir bernama JWS. Kunci publik terdapat dalam variabel bernama public.publickey.

JWS terpisah menghilangkan payload dari JWS:

header..signature

Anda dapat meneruskan payload ke kebijakan VerifyJWS dengan menentukan nama variabel yang berisi payload ke elemen <DetachedContent>. Konten yang ditentukan di <DetachedContent> harus dalam bentuk asli yang tidak dienkode seperti saat tanda tangan JWS dibuat.

<VerifyJWS name="JWS-Verify-RS256">
    <DisplayName>JWS Verify RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <DetachedContent>private.payload</DetachedContent>
</VerifyJWS>

Kebijakan menulis output-nya ke variabel konteks sehingga kebijakan atau kondisi berikutnya di proxy API dapat memeriksa nilai tersebut. Lihat Variabel alur untuk mengetahui daftar variabel yang ditetapkan oleh kebijakan ini.

Menetapkan elemen utama

Elemen yang Anda gunakan untuk menentukan kunci yang digunakan untuk memverifikasi JWS bergantung pada algoritma yang dipilih, seperti yang ditunjukkan dalam tabel berikut:

Catatan: Algoritma RS*, PS*, dan ES* semuanya menggunakan elemen yang sama untuk menentukan kunci, tetapi data kunci ES* berbeda dengan yang digunakan oleh algoritma RS* dan PS*. Untuk mengetahui persyaratan kunci selengkapnya, lihat Tentang algoritma enkripsi tanda tangan.

Algoritme	elemen utama
HS*	<SecretKey> <Value ref="private.secretkey"/> </SecretKey>
RS*, ES*, PS*	<PublicKey> <Value ref="rsa_public_key"/> </PublicKey> atau: <PublicKey> <JWKS ref="jwks_val_ref_or_url"/> </PublicKey>
^*Untuk mengetahui persyaratan kunci selengkapnya, lihat Tentang algoritma enkripsi tanda tangan.

Referensi elemen

Referensi kebijakan menjelaskan elemen dan atribut kebijakan Verifikasi JWS.

Catatan: Konfigurasi akan sedikit berbeda bergantung pada algoritma enkripsi yang Anda gunakan. Lihat Contoh untuk contoh yang menunjukkan konfigurasi untuk kasus penggunaan tertentu.

S

Atribut yang berlaku untuk elemen tingkat atas

<VerifyJWS name="JWS" continueOnError="false" enabled="true" async="false">

Atribut berikut bersifat umum untuk semua elemen induk kebijakan.

Atribut	Deskripsi	Default	Kehadiran
nama	Nama internal kebijakan. Karakter yang dapat Anda gunakan dalam nama dibatasi untuk: A-Z0-9._\-$ %. Namun, UI Apigee menerapkan batasan tambahan, seperti menghapus karakter yang bukan alfanumerik secara otomatis. Secara opsional, gunakan elemen <displayname></displayname> untuk memberi label pada kebijakan di editor proxy UI Apigee dengan nama bahasa alami yang berbeda.	T/A	Wajib
continueOnError	Tetapkan ke false untuk menampilkan error saat kebijakan gagal. Perilaku ini wajar terjadi untuk sebagian besar kebijakan. Tetapkan ke true agar eksekusi alur berlanjut meskipun setelah kebijakan gagal.	false	Opsional
diaktifkan	Tetapkan ke true untuk menerapkan kebijakan. Tetapkan ke false untuk "menonaktifkan" kebijakan. Kebijakan tidak akan diterapkan meskipun tetap terlampir ke alur.	benar	Opsional
asinkron	Atribut ini tidak digunakan lagi.	false	Tidak digunakan lagi

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Gunakan selain atribut nama untuk memberi label pada kebijakan di editor proxy UI Apigee dengan nama bahasa alami yang berbeda.

Default	Jika Anda menghapus elemen ini, nilai atribut nama kebijakan akan digunakan.
Kehadiran	Opsional
Jenis	String

<Algorithm>

<Algorithm>HS256</Algorithm>

Menentukan algoritma enkripsi untuk menandatangani token. Algoritma RS*/PS*/ES* menggunakan pasangan kunci publik/rahasia, sedangkan algoritma HS* menggunakan rahasia bersama. Lihat juga Tentang algoritma enkripsi tanda tangan.

Anda dapat menentukan beberapa nilai yang dipisahkan koma. Misalnya "HS256, HS512" atau "RS256, PS256". Namun, Anda tidak dapat menggabungkan algoritma HS* dengan algoritma lainnya atau algoritma ES* dengan algoritma lainnya karena algoritma tersebut memerlukan jenis kunci tertentu. Anda dapat menggabungkan algoritma RS* dan PS*.

Default	T/A
Kehadiran	Wajib
Jenis	String nilai yang dipisahkan koma
Nilai yang valid	HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512, PS256, PS384, PS512

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Memvalidasi bahwa header JWS berisi pasangan nama/nilai klaim tambahan yang ditentukan dan bahwa nilai klaim yang dinyatakan cocok.

Elemen <Claim> mendukung fitur penggantian string dinamis yang disebut template pesan.

Klaim tambahan menggunakan nama yang bukan salah satu nama klaim JWS standar yang terdaftar. Nilai klaim tambahan dapat berupa string, angka, boolean, peta, atau array. Peta hanyalah sekumpulan pasangan nama/nilai. Nilai untuk klaim dari jenis ini dapat ditentukan secara eksplisit dalam konfigurasi kebijakan, atau secara tidak langsung melalui referensi ke variabel alur.

Catatan: Jangan gunakan nama klaim terdaftar apa pun dalam elemen ini. Klaim terdaftar ditentukan dalam RFC7519. Kolom tersebut mencakup: "iss", "sub", "aud", "iat", "exp", "nbf", dan "jti".

Default	T/A
Kehadiran	Opsional
Jenis	String (default), angka, boolean, atau peta. Jenis defaultnya adalah String jika tidak ada jenis yang ditentukan.
Array	Tetapkan ke true untuk menunjukkan apakah nilainya adalah array jenis. Default: false
Nilai yang valid	Nilai apa pun yang ingin Anda gunakan untuk klaim tambahan.

Elemen <Claim> menggunakan atribut berikut:

• name - (Wajib) Nama klaim.
  Catatan: Jangan gunakan nama klaim terdaftar apa pun dalam elemen ini. Klaim terdaftar ditentukan dalam RFC7519. Kolom tersebut mencakup: "iss", "sub", "aud", "iat", "exp", "nbf", dan "jti".
• ref - (Opsional) Nama variabel alur. Jika ada, kebijakan akan menggunakan nilai variabel ini sebagai klaim. Jika atribut ref dan nilai klaim eksplisit ditentukan, nilai eksplisit adalah default, dan digunakan jika variabel alur yang dirujuk tidak terselesaikan.
• type - (Opsional) Salah satu dari: string (default), angka, boolean, atau peta
• array - (Opsional) Tetapkan ke true untuk menunjukkan apakah nilainya adalah array jenis. Default: false.

<DetachedContent>

<DetachedContent>variable-name-here</DetachedContent>

JWS yang dihasilkan dengan payload konten memiliki bentuk:

header.payload.signature

Jika Anda menggunakan kebijakan GenerateJWS untuk membuat payload terpisah, JWS yang dihasilkan akan menghapus payload dan dalam bentuk:

header..signature

Untuk payload yang terpisah, Anda dapat meneruskan payload ke kebijakan VerifyJWS menggunakan elemen <DetachedContent>. Payload konten yang ditentukan harus dalam bentuk asli yang tidak dienkode seperti saat tanda tangan JWS dibuat.

Hanya tetapkan elemen ini saat Anda menggunakan kebijakan GenerateJWS untuk membuat JWS dengan payload konten yang terpisah.

Kebijakan akan menampilkan error jika:

• <DetachedContent> ditentukan jika JWS tidak berisi payload konten yang terpisah (kode error adalah steps.jws.ContentIsNotDetached).
• <DetachedContent> dihilangkan dan JWS memiliki payload konten yang terpisah (kode error adalah steps.jws.InvalidSignature).

Default	N/A
Kehadiran	Opsional
Jenis	Referensi variabel

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

Tetapkan ke salah (false) jika Anda ingin kebijakan menampilkan error saat header yang tercantum di header crit JWS tidak tercantum di elemen <KnownHeaders>. Tetapkan ke benar (true) untuk menyebabkan kebijakan VerifyJWS mengabaikan header crit.

Salah satu alasan untuk menetapkan elemen ini ke true adalah jika Anda berada di lingkungan pengujian dan tidak ingin kebijakan gagal karena header tidak ada.

Default	false
Kehadiran	Opsional
Jenis	Boolean
Nilai yang valid	benar atau salah

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Tetapkan ke salah (false) jika Anda ingin kebijakan menampilkan error saat variabel yang dirujuk yang ditentukan dalam kebijakan tidak dapat di-resolve. Tetapkan ke benar (true) untuk memperlakukan variabel yang tidak dapat di-resolve sebagai string kosong (null).

Default	false
Kehadiran	Opsional
Jenis	Boolean
Nilai yang valid	benar atau salah

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

Kebijakan GenerateJWS menggunakan elemen <CriticalHeaders> untuk mengisi header crit dalam token. Contoh:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

Kebijakan VerifyJWS memeriksa header crit di JWS, jika ada, dan untuk setiap item yang tercantum, kebijakan ini memeriksa apakah elemen <KnownHeaders> juga mencantumkan header tersebut. Elemen <KnownHeaders> dapat berisi superset item yang tercantum dalam crit. Hanya perlu semua header yang tercantum di crit yang tercantum di elemen <KnownHeaders>. Setiap header yang ditemukan kebijakan di crit yang juga tidak tercantum di <KnownHeaders> akan menyebabkan kebijakan VerifyJWS gagal.

Anda dapat mengonfigurasi kebijakan VerifyJWS secara opsional untuk mengabaikan header crit dengan menetapkan elemen <IgnoreCriticalHeaders> ke true.

Catatan: Kebijakan VerifyJWS sebenarnya tidak menangani atau memproses header yang tercantum oleh elemen <KnownHeaders>. Anda dapat menangani klaim tersebut nanti di proxy atau backend.

Default	T/A
Kehadiran	Opsional
Jenis	Array string yang dipisahkan koma
Nilai yang valid	Array atau nama variabel yang berisi array.

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Menentukan nilai dalam format JWKS (RFC 7517) yang berisi kumpulan kunci publik. Hanya gunakan jika algoritma adalah salah satu dari RS256/RS384/RS512, PS256/PS384/PS512, atau ES256/ES384/ES512.

Jika JWS masuk memiliki ID kunci yang ada dalam kumpulan JWKS, kebijakan akan menggunakan kunci publik yang benar untuk memverifikasi tanda tangan JWS. Untuk mengetahui detail tentang fitur ini, lihat Menggunakan JSON Web Key Set (JWKS) untuk memverifikasi JWS.

Jika Anda mengambil nilai dari URL publik, Apigee akan meng-cache JWKS selama 300 detik. Saat masa berlaku cache berakhir, Apigee akan mengambil JWKS lagi.

Default	T/A
Kehadiran	Untuk memverifikasi JWS menggunakan algoritma RSA, Anda harus menggunakan elemen JWKS atau Nilai.
Jenis	String
Nilai yang valid	Variabel alur, nilai string, atau URL.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickey"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

Menentukan kunci publik yang digunakan untuk memverifikasi tanda tangan di JWS. Gunakan atribut ref untuk meneruskan kunci dalam variabel alur, atau tentukan kunci yang dienkode PEM secara langsung. Gunakan hanya jika algoritma adalah salah satu dari RS256/RS384/RS512, PS256/PS384/PS512, atau ES256/ES384/ES512.

Default	T/A
Kehadiran	Untuk memverifikasi JWS yang ditandatangani dengan algoritma RSA, Anda harus menggunakan elemen JWKS atau Value.
Jenis	String
Nilai yang valid	Variabel atau string alur.

<SecretKey>

<SecretKey encoding="base16|hex|base64|base64url" >
  <Value ref="private.your-variable-name"/>
</SecretKey>
  

Menentukan kunci rahasia yang akan digunakan saat memverifikasi JWS yang menggunakan algoritma simetris (HS*), salah satu dari HS256, HS384, atau HS512.

Elemen ini bersifat opsional. Namun, Anda harus menyertakan tepat satu dari elemen <PublicKey> atau <SecretKey>. Gunakan elemen <PublicKey> saat memverifikasi JWS yang algoritmanya adalah RS*, PS*, atau ES*, dan gunakan elemen <SecretKey> saat memverifikasi JWS yang algoritmanya adalah HS*.

Anak-anak <SecretKey>

Tabel berikut memberikan deskripsi elemen turunan dan atribut <SecretKey>:

Anak	Kehadiran	Deskripsi
encoding (atribut)	Opsional	Menentukan cara kunci dienkode dalam variabel yang dirujuk. Secara default, jika tidak ada encoding, encoding kunci akan diperlakukan sebagai UTF-8. Nilai yang valid untuk atribut ini adalah: hex, base16, base64, atau base64url. Nilai encoding hex dan base16 adalah sinonim. <SecretKey encoding="base64" > <Value ref="private.secretkey"/> </SecretKey> Pada contoh di atas, karena encoding-nya adalah base64, jika konten variabel private.secretkey adalah SUxvdmVBUElz, kunci akan didekode sebagai kumpulan 9 byte, yang dalam heksadesimal akan 49 4c 6f 76 65 41 50 49 73. Catatan: Apigee menerapkan kekuatan kunci minimum. Lihat dokumentasi untuk elemen Value guna mengetahui detailnya.
Nilai (elemen)	Wajib	Kunci rahasia yang dienkode. Menentukan kunci rahasia yang akan digunakan untuk memverifikasi payload. Gunakan atribut ref untuk memberikan kunci secara tidak langsung melalui variabel, seperti private.secret-key . <SecretKey> <Value ref="private.my-secret-variable"/> </SecretKey> Catatan: Nama variabel harus menyertakan awalan private seperti yang ditunjukkan pada contoh di atas. Apigee menerapkan kekuatan kunci minimum untuk algoritma HS256/HS384/HS512. Panjang kunci minimum untuk HS256 adalah 32 byte, untuk HS384 adalah 48 byte, dan untuk HS512 adalah 64 byte. Menggunakan kunci dengan kekuatan yang lebih rendah akan menyebabkan error runtime.

<Source>

<Source>JWS-variable</Source>

Jika ada, menentukan variabel alur tempat kebijakan mengharapkan untuk menemukan JWS yang akan diverifikasi.

Catatan: Secara default, JWS diambil dari variabel request.header.authorization. Dalam hal ini, Apigee akan mencari JWS di header Otorisasi permintaan. Jika meneruskan JWS di header Otorisasi, Anda tidak perlu menyertakan elemen Sumber dalam kebijakan; namun, Anda harus menyertakan Bearer di header autentikasi. Misalnya, Anda akan meneruskan JWS di header Authorization seperti ini:

curl -v http://52.200.92.187:9001/doctest-JWS/verify-rs256 -H "Authorization: Bearer <your JWS>"

Anda dapat mengonfigurasi kebijakan untuk mengambil JWS dari variabel parameter formulir atau kueri atau variabel lainnya. Jika variabel tidak ada atau jika kebijakan tidak dapat menemukan JWS, kebijakan akan menampilkan error.

Default	request.header.authorization (Lihat catatan di atas untuk mengetahui informasi penting tentang setelan default).
Kehadiran	Opsional
Jenis	String
Nilai yang valid	Nama variabel alur Apigee.

<Type>

<Type>type-string-here</Type>

Elemen opsional yang hanya mengizinkan nilai Signed, yang menentukan bahwa kebijakan memverifikasi JWS yang ditandatangani. <Type> disediakan hanya untuk mencocokkan elemen yang sesuai untuk kebijakan GenerateJWT dan VerifyJWT (dengan nilai Signed atau Encrypted).

Default	T/A
Kehadiran	Opsional
Jenis	String
Nilai yang valid	Signed

Variabel alur

Setelah berhasil, kebijakan Verify JWS dan Decode JWS akan menetapkan variabel konteks sesuai dengan pola ini:

jws.{policy_name}.{variable_name}

Misalnya, jika nama kebijakan adalah verify-jws, kebijakan akan menyimpan algoritma yang ditentukan dalam JWS ke variabel konteks ini: jws.verify-jws.header.algorithm

Nama variabel	Deskripsi
decoded.header.name	Nilai header yang dapat diuraikan JSON dalam payload. Satu variabel ditetapkan untuk setiap header dalam payload. Meskipun Anda juga dapat menggunakan variabel alur header.name, variabel ini direkomendasikan untuk digunakan guna mengakses header.
header.algorithm	Algoritme penandatanganan yang digunakan di JWS. Misalnya, RS256, HS384, dan sebagainya. Lihat Parameter Header(Algoritma) untuk mengetahui informasi selengkapnya.
header.kid	ID Kunci, jika ditambahkan saat JWS dibuat. Lihat juga "Menggunakan Set Kunci Web JSON (JWKS)" di ringkasan kebijakan JWT dan JWS untuk memverifikasi JWS. Lihat Parameter Header(ID Kunci) untuk mengetahui informasi selengkapnya.
header.type	Nilai jenis header. Lihat (Type) Header Parameter untuk mengetahui informasi selengkapnya.
header.name	Nilai header bernama (standar atau tambahan). Salah satunya akan ditetapkan untuk setiap header tambahan di bagian header JWS.
header-json	Header dalam format JSON.
payload	Payload JWS jika JWS memiliki payload terlampir. Untuk payload yang terpisah, variabel ini kosong.
valid	Dalam kasus VerifyJWS, variabel ini akan bernilai benar saat tanda tangan diverifikasi, dan waktu saat ini sebelum masa berlaku token, dan setelah nilai notBefore token, jika ada. Jika tidak, flag akan bernilai salah. Dalam kasus DecodeJWS, variabel ini tidak ditetapkan.

Referensi error

Bagian ini menjelaskan kode error dan pesan error yang ditampilkan serta variabel error yang ditetapkan oleh Apigee saat kebijakan ini memicu error. Informasi ini penting untuk diketahui jika Anda mengembangkan aturan error untuk menangani error. Untuk mempelajari lebih lanjut, lihat Yang perlu Anda ketahui tentang error kebijakan dan Menangani error.

Error runtime

Error ini dapat terjadi saat kebijakan dieksekusi.

Kode kerusakan	Status HTTP	Terjadi saat
steps.jws.AlgorithmInTokenNotPresentInConfiguration	401	Terjadi saat kebijakan verifikasi memiliki beberapa algoritma
steps.jws.AlgorithmMismatch	401	Algoritma yang ditentukan di header oleh kebijakan Generate tidak cocok dengan algoritma yang diharapkan dalam kebijakan Verify. Algoritma yang ditentukan harus cocok.
steps.jws.ContentIsNotDetached	401	<DetachedContent> ditentukan jika JWS tidak berisi payload konten yang terpisah.
steps.jws.FailedToDecode	401	Kebijakan tidak dapat mendekode JWS. JWS mungkin rusak.
steps.jws.InsufficientKeyLength	401	Untuk kunci kurang dari 32 byte untuk algoritma HS256
steps.jws.InvalidClaim	401	Untuk klaim yang tidak ada atau ketidakcocokan klaim, atau header yang tidak ada atau ketidakcocokan header.
steps.jws.InvalidCurve	401	Kurva yang ditentukan oleh kunci tidak valid untuk algoritma Elliptic Curve.
steps.jws.InvalidJsonFormat	401	JSON tidak valid ditemukan di header JWS.
steps.jws.InvalidJws	401	Error ini terjadi saat verifikasi tanda tangan JWS gagal.
steps.jws.InvalidPayload	401	Payload JWS tidak valid.
steps.jws.InvalidSignature	401	<DetachedContent> dihilangkan dan JWS memiliki payload konten yang terpisah.
steps.jws.KeyIdMissing	401	Kebijakan Verify menggunakan JWKS sebagai sumber untuk kunci publik, tetapi JWS yang ditandatangani tidak menyertakan properti kid di header.
steps.jws.KeyParsingFailed	401	Kunci publik tidak dapat diuraikan dari informasi kunci yang diberikan.
steps.jws.MissingPayload	401	Payload JWS tidak ada.
steps.jws.NoAlgorithmFoundInHeader	401	Terjadi saat JWS menghilangkan header algoritma.
steps.jws.NoMatchingPublicKey	401	Kebijakan Verify menggunakan JWKS sebagai sumber kunci publik, tetapi kid dalam JWS yang ditandatangani tidak tercantum dalam JWKS.
steps.jws.UnhandledCriticalHeader	401	Header yang ditemukan oleh kebijakan Verifikasi JWS di header crit tidak tercantum dalam KnownHeaders.
steps.jws.UnknownException	401	Terjadi pengecualian yang tidak diketahui.
steps.jws.WrongKeyType	401	Jenis kunci yang ditentukan salah. Misalnya, jika Anda menentukan kunci RSA untuk algoritma Elliptic Curve, atau kunci kurva untuk algoritma RSA.

Error saat deployment

Error ini dapat terjadi saat Anda men-deploy proxy yang berisi kebijakan ini.

Nama error	Terjadi saat
InvalidAlgorithm	Satu-satunya nilai yang valid adalah: RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512, HS256, HS384, HS512.
EmptyElementForKeyConfiguration FailedToResolveVariable InvalidConfigurationForActionAndAlgorithmFamily InvalidConfigurationForVerify InvalidEmptyElement InvalidFamiliesForAlgorithm InvalidKeyConfiguration InvalidNameForAdditionalClaim InvalidNameForAdditionalHeader InvalidPublicKeyId InvalidPublicKeyValue InvalidSecretInConfig InvalidTypeForAdditionalClaim InvalidTypeForAdditionalHeader InvalidValueForElement InvalidValueOfArrayAttribute InvalidVariableNameForSecret MissingConfigurationElement MissingElementForKeyConfiguration MissingNameForAdditionalClaim MissingNameForAdditionalHeader	Kemungkinan error deployment lainnya.

Variabel error

Variabel ini ditetapkan saat error runtime terjadi. Untuk mengetahui informasi selengkapnya, lihat Yang perlu Anda ketahui tentang error kebijakan.

Variabel	Dari mana	Contoh
fault.name="fault_name"	fault_name adalah nama error, seperti yang tercantum dalam tabel Runtime errors di atas. Nama error adalah bagian terakhir dari kode error.	fault.name Matches "TokenExpired"
JWS.failed	Semua kebijakan JWS menetapkan variabel yang sama jika terjadi kegagalan.	jws.JWS-Policy.failed = true

Contoh respons error

Untuk penanganan error, praktik terbaiknya adalah menangkap bagian errorcode dari respons error. Jangan mengandalkan teks di faultstring, karena teks tersebut dapat berubah.

Contoh aturan error

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>