|
Gmail REST API는 Service side Web application으로 Access token을 받아 Gmail API를 사용하는 과정을 설명하였고 이 경우에는 API의 권한(scope) 승인을 위해서 계정 사용자의 로그인과 명시적 권한 승인 과정이 필요하였다. JWT (Json Web Token) 방식은 서버-서버 인증 방식으로 웹 로그인 없이 서비스의 인증을 받을 수 있는 방법으로 서버에 공개를 키를 미리 등록하여 이에 상응하는 Client에 Private 키로 인증받는 방식이다. 서버-서버 Application 기반으로 Google API를 사용하기 위한 사전 준비 내용이다.
JWT 방식 장단점
- 사용자 로그인 필요 없다. 한번 인증된 서비스 계정의 JWT은 Refresh token과 동일하게 Access token을 계속 발급받을 수 있다.
- 사용자 인증 정보가 JWT에 모두 포함되기 때문에 추가적인 저장소가 필요 없다.
- 서비스 Private key 기반으로 한반 발급된 Private 은 유출되는 경우 보안상 문제가 될 수 있다.
- 구글의 경우 별도의 서비스 계정을 생성해야 한다. 사용자 계정자 계정은 연동은 가능하지만 마치 별도의 계정처럼 일부 제약 사항이 존재한다.
JWT 구성
JWT는 3개의 파트로 1) Header 2) Claim set, 3) Signature로 구성되며, 각각 점로 구분된다. Header와 Clamin Set은 JSON을 Base64URL로 encoding 한 UTF-8 스트링이다. 일반적인 Base64 인코딩은 “+”, “/”, “=”를 포함될 수 있지만, URI에서 파라미터로 사용할 수 있도록 URL-Safe 한 Base64url 인코딩을 사용한다. Signature는 Private 키를 사용해서 Base64url로 encoding 된 스트링이다.
- Header는 해쉬 암호화 알고리즘(e.g. RS256)과 Token의 타입(JWT)을 지정한다. 구글의 경우에는 RS256 알고리즘만 지원하고, Private Key ID 값을 추가해야 한다.
- Claim set은 name / value의 한 쌍으로 구성되어 있고 여러 개의 클레임을 추가할 수 있다. 각 서버마다 claim set에 필수 조건을 명시하고 있으며, 구글 API에서는 iss, scope, aud, exp, iat의 클레임 값은 필수이다.
- Signature는 secret key를 포함하여 암호화 (RSA256 Base64url safe)
{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}
| 
[SW 개발환경 구축] 시리즈
시리즈란?
등록안내
