Entra IDの外部認証プロバイダの設定を試す（３）

こんにちは、富士榮です。

引き続きEntra IDの外部認証について見ていきます。

今回は、前回のポストに記載したハマりポイントにも記載したjwksで公開する鍵の作り方を書いておきます。

ポイントはx5cを含む形でjwkを作成〜公開すること、です。要するに証明書を含め公開することでキーチェインがわかるようにする必要があるってことですね。

今回は当然自己証明証明書を使っているので、opensslで鍵ペアの作成等を行っています。

大まかには川崎さんが公開しているこちらのQiitaと類似の手順を通ればOKですが、今回はRSAでやったのでちょっと手順も異なる部分もあります。

前提）

• MacOSを使っています
• opensslはMacOS標準ではなくbrew install opensslをインストールした以下のバージョンを利用する必要があります（標準版だと一部新たなパラメータに対応していないため）
• OpenSSL 3.3.0 9 Apr 2024 (Library: OpenSSL 3.3.0 9 Apr 2024)
• pem-jwkを使いますのでnpm installしておいてください
• https://www.npmjs.com/package/pem-jwk
• jqを使いますので同じくnpm installしておいてください
• https://www.npmjs.com/package/jq

ということで鍵生成をしていきます。

まずは鍵ペアの生成をします。いきなりjwk形式で作ります。

openssl genrsa -traditional 2048 | pem-jwk > keypair.jwk

次にpemに変換します。

pem-jwk keypair.jwk > keypair.pem

公開鍵を抽出します。

openssl pkey -pubout -in keypair.pem > public.pem

証明書を作ります。CNにはissuer名を指定します。 

openssl req -x509 -key keypair.pem -subj /CN=7...省略...25.ngrok-free.app -days 3650 > certificate.pem

jwkに証明書を入れます。

CERT=$(sed /-/d certificate.pem | tr -d \\n)

jq ".+{\"x5c\":[\"$CERT\"]}" keypair.jwk > key+cert.jwk

これで出来上がったjwkをjwks_uriに入れ込んで公開します。ちなみに上記ではuseのパラメータが設定されないことがあるので必要に応じて"sig"を手動でセットしておきます。

その後、こんな感じでjwksとしてセットします。

これをkeystoreとして読み込んでjwks_uriエンドポイントで公開します。

// jwks_uriエンドポイント

router.get('/jwks_uri', async (req, res) => {

const ks = fs.readFileSync(path.resolve(__dirname, "../keys/keystoreSign.json"));

const keyStore = await jose.JWK.asKeyStore(ks.toString());

res.json(keyStore.toJSON())

});

これでEntra IDが署名検証に使える状態で鍵を公開することができました。

こんな感じです。

まぁ、雑ですが一通りの原理はわかる状態まで持っていくことができました。

あとはちゃんと外部認証プロバイダ側を実装するだけですね。