キーの認証設定

Classic/VPC環境で利用できます。

新規で提供される暗号化/復号化 APIは、既存の NAVERクラウドプラットフォームのアカウント情報を認証情報として使用していた暗号化/復号化 APIといくつかの違いがあります。KMS(Key Management Service) API 2.0で提供される新規 APIは、既存の API 1.0と比べて以下のような違いがあります。

キーリクエストトークンの概要

KMS API 2.0の暗号化/復号化 APIリクエストに使用されるトークンは、独自に使われたオーバーライドした JWT(Json Web Token)フォーマットで構成されます。

トークン構造

アクセストークンとリフレッシュトークンは、ユーザー認証と権限付与に使用されるトークンで、セキュリティと効率性を考慮してそれぞれのロールが異なります。

• アクセストークン(Access Token)
  アクセストークンは、クライアントがリソースサーバ(APIなど)にアクセスする際に使用される短寿命のトークンです。ユーザーまたはサービスが認証された後、このトークンを利用して権限が付与されたリソースにアクセスできます。アクセストークンはセキュリティを強化するための措置であり、通常は短時間のみ(数分~数時間)有効です。万が一トークンが流出しても有効期間が短いため、被害を最小限に抑えられるためです。
  ただし、認証トークンの有効期間が短くなると、トークンを新たに発行する面倒なユーザー認証手続きがそれだけ多く行われます。このような状況を補うためにリフレッシュトークンが使用されます。

• リフレッシュトークン(Refresh Token)
  リフレッシュトークンは、アクセストークンの有効期限が切れた時に、新しいアクセストークンを発行してもらうために使用されます。これにより、ユーザーは再度ユーザー認証(例: ログイン)をすることなく、継続的にサービスを利用できます。
  リフレッシュトークンは、アクセストークンよりもはるかに長い有効期間(数日~数か月)を持ちます。ただし、一般的に権限を最小限に抑えるために、アクセストークンのようにリソースにアクセスするためには使用できません。

Json Web Token(JWT)方式

キー単位で個別認証トークンを効率的に使用するため、KMS API 2.0ではトークンを独自に管理するのではなく、Json Web Token(JWT)方式を使用します。トークン例は次の通りです。

トークンベースの認証フロー(例)

1. キー単位でトークンに署名して発行するために、キー管理者はトークン作成者を設定します。
2. トークン作成者が設定されたら、コンソールまたは Create Token Set APIを利用してトークンペアを発行します。この時、ユーザー認証が必要です。
3. クライアントはアクセストークンを利用してキーの暗号化/復号化リクエストを行い、そのトークンの有効期限が切れてリクエストが拒否されると、リフレッシュトークンを利用して新しいアクセストークンをリクエストします。
4. 新しいアクセストークンが発行されると、クライアントは再びキーの暗号化/復号化をリクエストできます。もしリフレッシュトークンの有効期限が切れた場合、再トークン発行ユーザーは再度ユーザー認証を行う必要があります。

認証設定

トークン作成者の有効化/無効化

トークン認証機能を使用するためには、まずトークン作成者を設定する必要があります。トークン作成者を有効化・無効化する方法は、次の通りです。

1. NAVERクラウドプラットフォームコンソールで、 > Services > Security > Key Management Service > Keyメニューを順にクリックします。
2. キーを選択して認証設定タブに移動した後、トークン作成者の有効化をクリックしてトークン作成者を構成します。
3. トークン作成者がリセットされるとトークン作成者の IDが付与され、トークンを発行できるようになります。
   
4. トークン作成者の無効化をクリックするとトークン作成者が破棄され、これ以上トークン認証を処理しません。

トークン作成者のローテーション

トークン認証機能の使用を維持したまま、トークン作成者のみローテーションすることもできます。トークン作成者のローテーション方法は、次の通りです。

1. NAVERクラウドプラットフォームコンソールで、 > Services > Security > Key Management Service > Keyメニューを順にクリックします。
2. キーを選択して認証設定タブに移動した後、トークン作成者 IDを確認します。
3. トークン作成者の横にあるローテーションボタンをクリックして、トークン作成者をローテーションします。

トークン作成

トークン作成者が設定されている場合、トークンを発行できます。

1. NAVERクラウドプラットフォームコンソールで、 > Services > Security > Key Management Service > Keyメニューを順にクリックします。
2. キーを選択して認証設定タブに移動した後、トークン作成者 IDを確認します。
3. トークン作成ボタンをクリックし、有効期間を入力します。
   • リフレッシュトークン TTL: 時間単位で入力し、最小1時間から最大17,520時間(730日)まで設定できます。入力しない場合、デフォルトの2160時間(90日)に設定されます。
   • アクセストークン TTL: 時間単位で入力し、最小1時間から最大17,520時間(730日)まで設定できます。入力しない場合、デフォルトの72時間(3日)に設定されます。
4. 確認をクリックして、発行されたトークンを確認します。トークン発行のポップアップが閉じられると、発行されたトークンは失効しますのでご注意ください。
   

トークン

IP ACL設定

認可されていないクライアントからのトークンの誤用を防ぐために、トークン使用が許可されたリクエスタの IPアドレスを指定できます。

1. NAVERクラウドプラットフォームコンソールで、 > Services > Security > Key Management Service > Keyメニューを順にクリックします。
2. キーを選択して認証設定タブに移動した後、 IP ACLボタンを有効にします。IP ACLが有効になってから発行されるトークンは、リクエスト IPアドレスの検証が行われます。
   注意

   • IP ACLが有効になると、基本的に「All Deny」で動作します。したがって、IP ACL機能を有効にすると、必ず許可 IPアドレスを登録することでトークンを正しく使用できるようになります。
   • また、IP ACLが有効になる前に発行されたトークンもリクエスト IPアドレスの検証を行います。もし、IP ACL機能を有効になる前に発行されたトークンが許可された IPアドレスからリクエストされない場合は、検証に失敗しますのでご注意ください。
3. IPアドレスを入力し、追加ボタンをクリックして許可リストに登録します。IPアドレスは登録後すぐに許可されます。
4. 削除したい IPアドレスがある場合は、当該項目の横にある削除ボタンをクリックして許可リストから削除します。IPアドレスは削除後すぐに拒否されます。