サービスアカウントからGoogle IAPで保護されたリソースへのプログラムによるアクセスが無効な署名エラーで拒否されました

最近、GKEクラスタでIAPを有効にしました。

クラスターバージョン：1.15.11-gke.11

私はここの指示に従いました： https://cloud.google.com/iap/docs/enabling-kubernetes-howto

サービス構成は次のとおりです。

---
apiVersion: cloud.google.com/v1beta1
kind: BackendConfig
metadata:
  name: foo-bc-iap
  namespace: foo-test
spec:
  iap:
    enabled: true
    oauthclientCredentials:
      secretName: iap-client-secret
---
apiVersion: v1
kind: Service
metadata:
  name: foo-internal-service
  namespace: foo-test
  annotations:
    cloud.google.com/backend-config: '{"ports":{"80":"foo-bc-iap"}}'
spec:
  type: NodePort # To create Ingress using the service.
  selector:
    app: foo-test
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8081

私が使用した認証情報は、OAuth 2.0クライアントID（タイプ：Webアプリケーション））でした。

KubernetesサービスでIAPをアクティブ化するときにIAPで保護されたAPIエンドポイントの動作が異なることを確認した後、JSONファイル「account.json」で指定されたサービスアカウントからエンドポイントにアクセスできることを確認するために、次のテストプログラムを作成しました。

このサンプルアプリケーションを作成する際に、このドキュメントを参照しました： https://cloud.google.com/iap/docs/authentication-howto#iap_make_request-go

google.golang.org/api v0.23.0
1.12に行く

func (m *myApp) testAuthz(ctx *cli.Context) error {
    audience := "<The client ID of the credential mentioned above>"
    serviceAccountOption := idtoken.WithCredentialsFile("account.json")

    client, err := idtoken.NewClient(ctx.Context, audience, serviceAccountOption)
    if err != nil {
        return fmt.Errorf("idtoken.NewClient: %v", err)
    }

    requestBody := `{
        <some JSON payload>
    }`

    request, err := http.NewRequest("POST", "https://my.iap.protected/endpoint",
        bytes.NewBuffer([]byte(requestBody)))
    if err != nil {
        return fmt.Errorf("http.NewRequest: %v", err)
    }

    request.Header.Add("Content-Type", "application/json")

    response, err := client.Do(request)
    if err != nil {
        return fmt.Errorf("client.Do: %v", err)
    }
    defer response.Body.Close()

    fmt.Printf("request header = %#v\n", response.Request.Header)
    fmt.Printf("response header = %#v\n", response.Header)

    body, err := ioutil.ReadAll(response.Body)
    if err != nil {
        return fmt.Errorf("ioutil.ReadAll: %v", err)
    }

    fmt.Printf("%d: %s\n", response.StatusCode, string(body))

    return nil
}

しかし、これを実行すると、次の応答しか表示されませんでした。

request header = http.Header{"Authorization":[]string{"Bearer <jwt token>"}, "Content-Type":[]string{"application/json"}, "X-Cloud-Trace-Context":[]string{"c855757f20d155da1140fad1508ae3e5/17413578722158830486;o=0"}}

response header = http.Header{"Alt-Svc":[]string{"clear"}, "Content-Length":[]string{"49"}, "Content-Type":[]string{"text/html; charset=UTF-8"}, "Date":[]string{"Wed, 06 May 2020 22:17:43 GMT"}, "X-Goog-Iap-Generated-Response":[]string{"true"}}

401: Invalid IAP credentials: JWT signature is invalid

ここを見るとわかるように、アクセスは拒否されました。

そのため、ヘッダーのJWTトークンに署名するために使用される署名が間違っているのではないかと思いました。

しかし、私はjwt.ioを使用して以下を確認しました：

ヘッダーで使用されるJWTトークンは、呼び出し元のサービスアカウントの秘密鍵で署名されています
ヘッダーで使用されるJWTトークンは、呼び出し元のサービスアカウントの公開鍵で確認できます
JWTトークンはRS256アルゴリズムを使用して署名されました

そして、私はトークンも調べました：

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "<the service account's private key ID>"
}

{
  "iss": "<email address of the service account>",
  "aud": "",
  "exp": 1588806087,
  "iat": 1588802487,
  "sub": "<email address of the service acocunt>"
}

奇妙なことは何もありません。

何が起こっているのかわかりません。 IAPを無効にすると、エンドポイントは正しい応答を返します。

誰かが私が間違っていることについていくつかのヒントを教えてもらえますか？

kubernetesgoogle-cloud-platformjwtgoogle-kubernetes-enginegoogle-iap

2020/05/07Byungjoon Lee

@Dirbaioが指摘したように、これはv0.23.0に固有の問題だと思います。現在、依存関係をアップグレードできないため、idtoken.NewClientを使用しない新しいIAPクライアントを作成することにしました。代わりに、idtoken.NewTokenSourceを使用してOIDCトークンを作成します。 Authorizationヘッダーにトークンを追加するのは簡単なので、idtoken.NewClientによって作成されたクライアントで問題を回避できます。

package main

import (
    "context"
    "crypto/tls"
    "fmt"
    "io"
    "net/http"

    "golang.org/x/oauth2"
    "google.golang.org/api/idtoken"
    "google.golang.org/api/option"
)

// IAPClient is the default HTTPS client with Morse-Code KMS integration.
type IAPClient struct {
    client      *http.Client
    tokenSource oauth2.TokenSource
}

// NewIAPClient returns an HTTP client with TLS transport, but not doing the CA checks.
func NewIAPClient(audience string, opts ...option.ClientOption) *IAPClient {
    tokenSource, err := idtoken.NewTokenSource(context.Background(), audience, opts...)
    if err != nil {
        panic(fmt.Errorf("cannot create a new token source: %s", err.Error()))
    }

    return &IAPClient{
        client: &http.Client{
            Transport: &http.Transport{
                TLSClientConfig: &tls.Config{
                    InsecureSkipVerify: true,
                },
            },
        },
        tokenSource: tokenSource,
    }
}

// Do sends the http request to server with a morse-code JWT Authorization: Bearer header.
func (c *IAPClient) Do(request *http.Request) (*http.Response, error) {
    err := c.addAuthorizationHeader(request)
    if err != nil {
        return nil, fmt.Errorf("couldn't override the request with the new auth header: %s", err.Error())
    }

    return c.client.Do(request)
}

// Get sends the http GET request to server with a morse-code JWT Authorization: Bearer header.
func (c *IAPClient) Get(url string) (*http.Response, error) {
    request, err := http.NewRequest(http.MethodGet, url, nil)

    if err != nil {
        return nil, err
    }

    return c.Do(request)
}

// Post sends the http POST request to server with a morse-code JWT Authorization: Bearer header.
func (c *IAPClient) Post(url, contentType string, body io.Reader) (*http.Response, error) {
    request, err := http.NewRequest(http.MethodPost, url, body)
    if err != nil {
        return nil, err
    }

    request.Header.Add("Content-Type", contentType)

    return c.Do(request)
}

func (c *IAPClient) addAuthorizationHeader(request *http.Request) error {
    tkn, err := c.tokenSource.Token()
    if err != nil {
        return fmt.Errorf("cannot create a token: %s", err.Error())
    }

    tkn.SetAuthHeader(request)

    return nil
}

2020/05/27Byungjoon Lee