Règle VerifyJWS

Cette page s'applique à Apigee et à Apigee hybrid.

Consultez la documentation d'Apigee Edge.

icône de la règle

Événement

Vérifie la signature sur un jeton JWS reçu de clients ou d'autres systèmes. Cette règle extrait également les en-têtes dans des variables de contexte afin que les règles ou les conditions ultérieures puissent examiner ces valeurs pour prendre des décisions concernant le processus d'autorisation ou de routage. Consultez la section Présentation des règles JWS et JWT pour une présentation détaillée.

Si le jeton JWS est valide, la requête est autorisée à poursuivre. Si la signature JWS ne peut pas être vérifiée ou si le jeton JWS n'est pas valide en raison d'une erreur, l'ensemble du traitement s'arrête et une erreur est renvoyée dans la réponse.

Cette règle est une règle extensible et son utilisation peut avoir des conséquences sur le coût ou l'utilisation, en fonction de votre licence Apigee. Pour en savoir plus sur les types de règles et les implications en termes d'utilisation, consultez la section Types de règles.

Pour en savoir plus sur les composantes d'un jeton JWS ainsi que sur la façon dont elles sont chiffrées et signées, consultez le document RFC7515.

Vidéo

Regardez une courte vidéo pour savoir comment vérifier la signature sur un jeton JWS. Bien que cette vidéo soit spécifique à la vérification d'un jeton JWT, de nombreux concepts sont les mêmes pour JWS.

Exemples

Vérifier un jeton JWS associé signé avec l'algorithme HS256

Cet exemple de règle vérifie un jeton JWS associé signé avec l'algorithme de chiffrement HS256, HMAC, à l'aide d'une somme de contrôle SHA-256. Le jeton JWS est transmis dans la requête de proxy à l'aide d'un paramètre de formulaire nommé JWS. La clé est contenue dans une variable nommée private.secretkey.

Un jeton JWS associé contient l'en-tête encodé, la charge utile et la signature :

header.payload.signature

La configuration de la règle inclut les informations dont Apigee a besoin pour décoder et évaluer le JWS, par exemple pour savoir où trouver le JWS (dans une variable de flux spécifiée dans l'élément <Source>), l'algorithme de signature requis et où trouver la clé secrète (stockée dans une variable de flux Apigee, qui a pu être récupérée à partir de la KVM Apigee, par exemple).

<VerifyJWS name="JWS-Verify-HS256">
    <DisplayName>JWS Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
</VerifyJWS>

La règle écrit sa sortie dans des variables de contexte afin que les règles ou les conditions ultérieures du proxy d'API puissent examiner ces valeurs. Pour obtenir la liste des variables définies par cette règle, consultez la section Variables de flux.

Vérifier un jeton JWS dissocié signé avec l'algorithme RS256

Cet exemple de règle vérifie un jeton JWS dissocié signé avec l'algorithme RS256. Pour procéder à la vérification, vous devez fournir la clé publique. Le jeton JWS est transmis dans la requête de proxy à l'aide d'un paramètre de formulaire nommé JWS. La clé publique se trouve dans une variable nommée public.publickey.

Un JWS dissocié omet la charge utile de JWS :

header..signature

Il vous incombe de transmettre la charge utile à la règle VerifyJWS en spécifiant le nom de la variable contenant la charge utile dans l'élément <DetachedContent>. Le contenu spécifié dans <DetachedContent> doit être au même format non codé d'origine que celui défini lorsque la signature JWS a été créée.

<VerifyJWS name="JWS-Verify-RS256">
    <DisplayName>JWS Verify RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.JWS</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <DetachedContent>private.payload</DetachedContent>
</VerifyJWS>

La règle écrit sa sortie dans des variables de contexte afin que les règles ou les conditions ultérieures du proxy d'API puissent examiner ces valeurs. Pour obtenir la liste des variables définies par cette règle, consultez la section Variables de flux.

Définir les éléments de clé

Les éléments que vous utilisez pour spécifier la clé utilisée pour vérifier le JWS dépendent de l'algorithme choisi, comme indiqué dans le tableau suivant :

Algorithme Éléments clés
HS* 

<SecretKey>
  <Value ref="private.secretkey"/>
</SecretKey>
RS*, ES*, PS* 

<PublicKey>
  <Value ref="rsa_public_key"/>
</PublicKey>

ou :


<PublicKey>
  <JWKS ref="jwks_val_ref_or_url"/>
</PublicKey>
* Pour en savoir plus sur les conditions requises par les clés, consultez la page À propos des algorithmes de chiffrement de signature.

Documentation de référence des éléments

La référence de règle décrit les éléments et les attributs de la règle JWS Verify.

Remarque : La configuration diffère légèrement selon l'algorithme de chiffrement que vous utilisez. Consultez les échantillons pour obtenir des exemples de configuration pour des cas d'utilisation spécifiques.

S

Attributs qui s'appliquent à l'élément de premier niveau

<VerifyJWS name="JWS" continueOnError="false" enabled="true" async="false">

Les attributs suivants sont communs à tous les éléments parents de la règle.

Attribut Description Par défaut Présence
nom Nom interne de la stratégie. Les caractères que vous pouvez utiliser dans le nom se limitent à : A-Z0-9._\-$ %. L'interface utilisateur Apigee applique cependant des restrictions supplémentaires, telles que la suppression automatique des caractères qui ne sont pas alphanumériques.

Vous pouvez également utiliser l'élément <displayname></displayname> pour ajouter un libellé à la règle dans l'éditeur de proxy de l'interface utilisateur d'Apigee, en utilisant un nom différent, en langage naturel.

 N/A Requis
continueOnError Définissez sur false pour afficher une erreur en cas d'échec d'une stratégie. Il s'agit du comportement attendu pour la plupart des règles.

Définissez sur true pour que l'exécution du flux se poursuive même après l'échec d'une règle.

 faux Facultatif
activé Définissez la valeur sur true pour appliquer la stratégie.

Définissez la valeur sur false pour "désactiver" la stratégie. La stratégie ne sera pas appliquée même si elle reste associée à un flux.

 vrai Facultatif
async Cet attribut est obsolète. faux Obsolète

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

À utiliser, en plus de l'attribut, pour appliquer un libellé à la règle dans l'éditeur de proxy de l'interface utilisateur d'Apigee en utilisant un nom différent, en langage naturel.

Par défaut Si vous omettez cet élément, la valeur de l'attribut de nom de la stratégie est utilisée.
Présence Facultatif
Type Chaîne

<Algorithm>

<Algorithm>HS256</Algorithm>

Spécifie l'algorithme de chiffrement permettant de signer le jeton. Les algorithmes RS*/PS*/ES* utilisent une paire de clés publique/secrète, tandis que les algorithmes HS* utilisent une clé secrète partagée. Consultez également À propos des algorithmes de chiffrement de signature.

Vous pouvez spécifier plusieurs valeurs séparées par une virgule. Par exemple, "HS256, HS512" ou "RS256, PS256". Cependant, vous ne pouvez pas associer des algorithmes HS* ou des algorithmes ES* à d'autres algorithmes, car ils exigent un type de clé spécifique. Vous pouvez combiner les algorithmes RS* et PS*.

Par défaut N/A
Présence Requis
Type Chaîne de valeurs séparées par une virgule
Valeurs valides HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512, PS256, PS384, PS512

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Vérifie que l'en-tête JWS contient la ou les paires nom/valeur de revendication supplémentaires spécifiées et que les valeurs de revendication déclarées correspondent.

Une revendication supplémentaire utilise un nom qui ne correspond pas à l'un des noms de revendication standards JWS enregistrés. La valeur d'une revendication supplémentaire peut être une chaîne, un nombre, une valeur booléenne, un mappage ou un tableau. Un mappage est simplement un ensemble de paires nom/valeur. La valeur d'une revendication de l'un de ces types peut être spécifiée explicitement dans la configuration de la règle ou indirectement via une référence à une variable de flux.

Par défaut N/A
Présence Facultatif
Type

Chaîne (par défaut), nombre, booléen ou mappage.

Si aucune valeur n'est spécifiée, le type par défaut est "Chaîne".
Array Définissez la valeur sur true pour indiquer que la valeur est un tableau de types. Valeur par défaut : "false"
Valeurs valides Toute valeur que vous souhaitez utiliser dans une revendication supplémentaire.

L'élément <Claim> utilise les attributs suivants :

  • name : (obligatoire) nom de la revendication.
  • ref (facultatif) : nom d'une variable de flux. Si elle est présente, la règle utilise la valeur de cette variable comme revendication. Si un attribut ref et une valeur de revendication explicite sont spécifiés, la valeur explicite est la valeur par défaut, et est utilisée si la variable de flux référencée n'est pas résolue.
  • type : (facultatif) au choix : chaîne (par défaut), nombre, valeur booléenne ou mappage
  • array : (facultatif) défini sur true pour indiquer que la valeur est un tableau de types. Valeur par défaut : "false".

<DetachedContent>

<DetachedContent>variable-name-here</DetachedContent>

Une requête JWS générée avec une charge utile de contenu se présente sous la forme suivante :

header.payload.signature

Si vous utilisez la règle GenerateJWS pour créer une charge utile dissociée, le fichier JWS généré omet la charge utile et se présente sous la forme suivante :

header..signature

Pour une charge utile dissociée, il vous incombe de transmettre la charge utile à la règle VerifyJWS à l'aide de l'élément <DetachedContent>. La charge utile de contenu spécifiée doit être au même format non codé d'origine que celui défini lorsque la signature JWS a été créée.

La règle génère une erreur dans les cas suivants :

  • <DetachedContent> est spécifié lorsque le fichier JWS ne contient pas de charge utile de contenu détaché (le code d'erreur est steps.jws.ContentIsNotDetached).
  • <DetachedContent> est omis et le JWT dispose d'une charge utile de contenu dissociée (le code d'erreur est steps.jws.InvalidSignature).
Par défaut N/A
Présence Facultatif
Type Informations de référence sur les variables

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

Défini sur "false" si vous souhaitez que la règle génère une erreur lorsqu'un en-tête répertorié dans l'en-tête crit du fichier JWS n'est pas répertorié dans l'élément <KnownHeaders>. Définissez la valeur sur "true" pour que la règle VerifyJWS ignore les en-têtes crit.

Si vous êtes dans un environnement de test et que vous ne souhaitez pas que la règle échoue en raison d'un en-tête manquant, vous pouvez définir cet élément sur "true".

Par défaut false
Présence Facultatif
Type Booléen
Valeurs valides True ou False

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Définissez la valeur sur "false" si vous souhaitez que la règle génère une erreur lorsqu'une variable référencée dans la règle ne peut être résolue. Définissez la valeur sur "true" pour traiter toute variable irrésolue comme une chaîne vide (null).

Par défaut false
Présence Facultatif
Type Booléen
Valeurs valides True ou False

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

La règle GenerateJWS utilise l'élément <CriticalHeaders> pour renseigner l'en-tête crit dans un jeton. Exemple :

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

La règle VerifyJWS examine l'en-tête crit dans le fichier JWS, le cas échéant. Pour chaque élément répertorié, il vérifie que l'élément <KnownHeaders> répertorie également cet en-tête. L'élément <KnownHeaders> peut contenir un sur-ensemble des éléments répertoriés dans crit. Il n'est nécessaire que tous les en-têtes répertoriés dans crit soient répertoriés dans l'élément <KnownHeaders>. Tout en-tête trouvé par la règle dans crit et non répertorié dans la section <KnownHeaders> entraîne l'échec de la règle ValiderJWS.

Vous pouvez éventuellement configurer la règle VerifyJWS pour ignorer l'en-tête crit en définissant l'élément <IgnoreCriticalHeaders> sur true.

Par défaut N/A
Présence Facultatif
Type Tableau de chaînes séparées par une virgule
Valeurs valides Tableau ou nom d'une variable contenant le tableau.

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Spécifie une valeur au format JWKS (RFC 7517) contenant un ensemble de clés publiques. À n'utiliser que lorsque l'algorithme est RS256/RS384/RS512, PS256/PS384/PS512 ou ES256/ES384/ES512.

Si le jeton JWS entrant a un ID de clé présent dans l'ensemble de JWKS, la règle utilise la clé publique appropriée pour vérifier la signature JWS. Pour en savoir plus sur cette fonctionnalité, consultez la section Utiliser un jeu de clés Web JSON (JWKS) pour vérifier un JWS/JWT.

Si vous récupérez la valeur à partir d'une URL publique, Apigee met en cache les JWKS pendant une période de 300 secondes. Lorsque le cache expire, Apigee récupère à nouveau le JWKS.

Par défaut N/A
Présence Pour vérifier un jeton JWS à l'aide d'un algorithme RSA, vous devez utiliser les éléments "JWKS" ou "Value".
Type Chaîne
Valeurs valides Une variable de flux, une valeur de chaîne ou une URL.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickey"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

Spécifie la clé publique utilisée pour vérifier la signature sur le jeton JWS. Utilisez l'attribut "ref" pour transmettre la clé dans une variable de flux ou spécifiez directement la clé encodée au format PEM. À n'utiliser que lorsque l'algorithme est RS256/RS384/RS512, PS256/PS384/PS512 ou ES256/ES384/ES512.

Par défaut N/A
Présence Pour vérifier un jeton JWS signé avec un algorithme RSA, vous devez utiliser les éléments "JWKS" ou "Value".
Type Chaîne
Valeurs valides Une variable de flux ou une chaîne

<SecretKey>

<SecretKey encoding="base16|hex|base64|base64url" >
  <Value ref="private.your-variable-name"/>
</SecretKey>

Spécifie la clé secrète à utiliser lors de la vérification d'un jeton JWS qui utilise un algorithme symétrique (HS*), choisie parmi HS256, HS384 ou HS512.

Cet élément est facultatif. Toutefois, vous devez inclure exactement l'un des éléments <PublicKey> ou <SecretKey>. Utilisez l'élément <PublicKey> lors de la vérification d'un jeton JWS pour lequel l'algorithme est RS*, PS* ou ES*, et utilisez l'élément <SecretKey> lors de la vérification d'un jeton JWS pour lequel l'algorithme est HS *.

Enfants de <SecretKey>

Le tableau suivant fournit une description des éléments enfants et des attributs de : <SecretKey>

Enfant Présence Description
codage (attribut) Facultatif

Spécifie le mode d'encodage de la clé dans la variable référencée. Par défaut, lorsqu'aucun attribut encoding n'est présent, l'encodage de la clé est traité comme étant UTF-8. Les valeurs valides pour l'attribut sont hexadécimal, base16, base64 ou base64url. Les valeurs d'encodage hexadécimales et base16 sont des synonymes.


<SecretKey encoding="base64" >
  <Value ref="private.secretkey"/>
</SecretKey>

Dans l'exemple ci-dessus, l'encodage étant base64, si le contenu de la variable private.secretkey est SUxvdmVBUElz, la clé est décodée comme un ensemble de 9 octets, qui sera 49 4c 6f 76 65 41 50 49 73 en hexadécimal.

Valeur (élément) Requis

Clé secrète encodée. Spécifie la clé secrète qui sera utilisée pour vérifier la charge utile. Utilisez l'attribut ref pour fournir la clé indirectement via une variable, telle que private.secret-key.


<SecretKey>
  <Value ref="private.my-secret-variable"/>
</SecretKey>

Apigee applique un niveau de sécurité de clé minimal pour les algorithmes HS256/HS384/HS512. La longueur de clé minimale pour HS256 est de 32 octets, pour HS384 de 48 octets, et pour HS512 de 64 octets. L'utilisation d'une clé d'un niveau de sécurité inférieur entraîne une erreur d'exécution.

<source>

<Source>JWS-variable</Source>

Le cas échéant, spécifie la variable de flux dans laquelle la règle s'attend à trouver le jeton JWT à vérifier.

Par défaut request.header.authorization (Consultez la remarque ci-dessus pour obtenir des informations importantes sur la valeur par défaut).
Présence Facultatif
Type Chaîne
Valeurs valides Nom de variable de flux Apigee

<Type>

<Type>type-string-here</Type>

Élément facultatif dont la seule valeur autorisée est Signed, indiquant que la règle vérifie un jeton JWS signé. <Type> est simplement fourni pour établir l'association avec l'élément correspondant pour les règles GenerateJWT et VerifyJWT (dans lesquelles il peut accepter indifféremment les valeurs Signed ou Encrypted).

Par défaut N/A
Présence Facultatif
Type String
Valeur valide Signed

Variables de flux

En cas de réussite, les règles VerifyJWS et DecodeJWS définissent les variables de contexte conformément à ce modèle :

jws.{policy_name}.{variable_name}

Par exemple, si le nom de la règle est verify-jws, la règle stocke l'algorithme spécifié dans le JWS dans cette variable de contexte : jws.verify-jws.header.algorithm

Nom de la variable Description
decoded.header.name Valeur analysable par JSON d'un en-tête dans la charge utile. Une variable est définie pour chaque en-tête de la charge utile. Bien que vous puissiez également utiliser les variables de flux header.name, il s'agit de la variable recommandée pour accéder à un en-tête.
header.algorithm Algorithme de signature utilisé sur le JWS. Par exemple, RS256, HS384, etc. Consultez la section Paramètre d'en-tête (algorithme) pour en savoir plus.
header.kid ID de clé, s'il est ajouté lorsque le JWS a été généré. Pour vérifier un JWS, consultez également la section "Utiliser un jeu de clés Web JSON (JWKS)" sur la page Présentation des règles JWT et JWS. Consultez la section Paramètre d'en-tête (ID de clé) pour en savoir plus.
header.type Valeur du type d'en-tête. Pour en savoir plus, consultez la section Paramètre d'en-tête (type).
header.name Valeur de l'en-tête nommé (standard ou supplémentaire). L'une de ces valeurs sera définie pour chaque en-tête supplémentaire dans la partie en-tête du JWS.
header-json En-tête au format JSON.
payload Charge utile JWS si une charge utile est associée au JWS. Dans le cas d'une charge utile dissociée, cette variable est vide.
valid Dans le cas de VerifyJWS, cette variable a la valeur true lorsque la signature est validée, et que l'heure actuelle est antérieure à l'expiration du jeton et postérieure à la valeur notBefore du jeton, si elles sont présentes. Sinon, la variable a la valeur false.

Dans le cas de DecodeJWS, cette variable n'est pas définie.

Informations de référence sur les erreurs

Cette section décrit les codes d'erreur et les messages d'erreur renvoyés et les variables d'erreur définies par Apigee lorsque cette règle déclenche une erreur. Ces informations sont importantes si vous développez des règles de défaillance afin de gérer les pannes. Pour en savoir plus, consultez les pages Ce que vous devez savoir à propos des erreurs liées aux règles et Gérer les pannes.

Erreurs d'exécution

Ces erreurs peuvent se produire lors de l'exécution de la règle.

Code d'erreur État HTTP Se produit quand
steps.jws.AlgorithmInTokenNotPresentInConfiguration 401 Se produit lorsque la règle de validation comporte plusieurs algorithmes.
steps.jws.AlgorithmMismatch 401 L'algorithme spécifié dans l'en-tête par la règle Generate ne correspond pas à celui attendu dans la règle Verify. Les algorithmes spécifiés doivent correspondre.
steps.jws.ContentIsNotDetached 401 <DetachedContent> est spécifié lorsque le fichier JWS ne contient pas de charge utile de contenu dissociée.
steps.jws.FailedToDecode 401 La règle n'a pas pu décoder le jeton JWS. Le jeton JWS est peut-être corrompu.
steps.jws.InsufficientKeyLength 401 Pour une clé inférieure à 32 octets pour l'algorithme HS256
steps.jws.InvalidClaim 401 En cas de problème de revendication ou de revendication manquante, de problème d'en-tête ou d'en-tête manquant.
steps.jws.InvalidCurve 401 La courbe spécifiée par la clé n'est pas valide pour l'algorithme à courbe elliptique.
steps.jws.InvalidJsonFormat 401 JSON non valide trouvé dans l'en-tête JWS.
steps.jws.InvalidJws 401 Cette erreur se produit en cas d'échec de la validation de la signature du jeton JWS.
steps.jws.InvalidPayload 401 La charge utile JWS n'est pas valide.
steps.jws.InvalidSignature 401 <DetachedContent> est omis et le fichier JWS possède une charge utile de contenu dissociée.
steps.jws.KeyIdMissing 401 La règle Verify utilise un JWKS en tant que source pour les clés publiques, mais le jeton JWT signé n'inclut pas la propriété kid dans l'en-tête.
steps.jws.KeyParsingFailed 401 Impossible d'analyser la clé publique à partir des informations de clé fournies.
steps.jws.MissingPayload 401 La charge utile JWS est manquante.
steps.jws.NoAlgorithmFoundInHeader 401 Se produit lorsque le jeton JWS omet l'en-tête de l'algorithme.
steps.jws.NoMatchingPublicKey 401 La règle Verify utilise un JWKS en tant que source pour les clés publiques, mais le kid du jeton JWS signé n'est pas répertorié dans le JWKS.
steps.jws.UnhandledCriticalHeader 401 Un en-tête trouvé par la règle de vérification JWS dans l'en-tête crit n'est pas répertorié dans KnownHeaders.
steps.jws.UnknownException 401 Une exception inconnue s'est produite.
steps.jws.WrongKeyType 401 Type de clé spécifié incorrect. Par exemple, si vous spécifiez une clé RSA pour un algorithme à courbe elliptique ou une clé à courbe elliptique pour un algorithme RSA.

Erreurs de déploiement

Ces erreurs peuvent se produire lorsque vous déployez un proxy contenant cette règle.

Nom de l'erreur Se produit quand
InvalidAlgorithm Les seules valeurs valides sont : RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512, HS256, HS384, HS512.

EmptyElementForKeyConfiguration

FailedToResolveVariable

InvalidConfigurationForActionAndAlgorithmFamily

InvalidConfigurationForVerify

InvalidEmptyElement

InvalidFamiliesForAlgorithm

InvalidKeyConfiguration

InvalidNameForAdditionalClaim

InvalidNameForAdditionalHeader

InvalidPublicKeyId

InvalidPublicKeyValue

InvalidSecretInConfig

InvalidTypeForAdditionalClaim

InvalidTypeForAdditionalHeader

InvalidValueForElement

InvalidValueOfArrayAttribute

InvalidVariableNameForSecret

MissingConfigurationElement

MissingElementForKeyConfiguration

MissingNameForAdditionalClaim

MissingNameForAdditionalHeader

 Autres erreurs de déploiement possibles.

Variables de panne

Ces variables sont définies lorsqu'une erreur d'exécution se produit. Pour en savoir plus, consultez la section Ce que vous devez savoir sur les erreurs liées aux règles.

Variables Où : Exemple
fault.name="fault_name" fault_name est le nom de l'erreur, tel qu'indiqué dans le tableau Erreurs d'exécution ci-dessus. Le nom d'erreur est la dernière partie du code d'erreur. fault.name Matches "TokenExpired"
JWS.failed Toutes les règles JWS définissent la même variable en cas d'échec. jws.JWS-Policy.failed = true

Exemple de réponse d'erreur

Pour le traitement des erreurs, la meilleur pratique consiste à intercepter la partie errorcode de la réponse. Ne vous fiez pas au texte dans faultstring, car il pourrait changer.

Exemple de règle de défaillance

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>