サービスを作成する
curl -i -X POST 

--url http://localhost:8001/services/ 

--data 'name=crud' 

--data 'url=http://iris:52773/crud/'


ここで確認したこと: サービスの作成するには、その URL のみが必要です。
3.2. ルートを作成する


 IAM ポータル 
 Rest API 







ルートを作成する
curl -i -X POST 

--url http://localhost:8001/services/crud/routes 

--data 'name=crud-route' 

--data 'paths=/persons/*' 

--data 'strip_path=false'

ルートの作成には、次の項目が必要です。

サービス名
RegEx が許可されているパス

3.3. テスト


 元の API 
 プロキシ API 




レガシー
curl –i --location --request GET 'http://localhost:52773/crud/persons/all' 

--header 'Authorization: Basic U3VwZXJVc2VyOlNZUw=='




KONG
curl –i --location --request GET 'http://localhost:8000/persons/all' 

--header 'Authorization: Basic U3VwZXJVc2VyOlNZUw=='


ここで確認したこと:

レガシー側は何も変わらない
Kong 側:

ポートを変更する
パスはルートに対応する
依然として認証が必要



4. その 2: プラグインの使用
次に、IRIS エンドポイントに対して Kong の自動認証を行ってみましょう。
これを行うために、resquest-transformer というプラグインを使用します。

4.1. プラグインをサービスに追加する


 IAM ポータル 
 Rest API 






プラグインを作成する
curl -i -X POST 

--url http://localhost:8001/services/crud/plugins 

--data 'name=request-transformer' 

--data 'config.add.headers=Authorization:Basic U3VwZXJVc2VyOlNZUw==' 

--data 'config.replace.headers=Authorization:Basic U3VwZXJVc2VyOlNZUw=='

4.2. テスト


 元の API 
 プロキシ API 




レガシー
curl –i --location --request GET 'http://localhost:52773/crud/persons/all'



KONG
curl –i --location --request GET 'http://localhost:8000/persons/all'


ここで確認したこと:

元の API にエラー 401 が発生する
認証を行わずにデータに到達した

5. その 3: 独自認証の追加
ここでは、元の API を損なうことなく、独自の認証を追加してみましょう。

5.1. コンシューマを追加する


 IAM ポータル 
 Rest API 






コンシューマ anonymous を追加する
curl -i -X POST 

--url http://localhost:8001/consumers/ 

--data "username=anonymous" 

--data "custom_id=anonymous"






コンシューマ user を追加する
curl -i -X POST 

--url http://localhost:8001/consumers/ 

--data "username=user" 

--data "custom_id=user"


5.2. Basic 認証プラグインを追加する


 IAM ポータル 
 Rest API 






サービスの Basic 認証を有効にする
curl -i -X POST http://localhost:8001/routes/crud-route/plugins 

--data "name=basic-auth" 

--data "config.anonymous=5cc8dee4-066d-492e-b2f8-bd77eb0a4c86" 

--data "config.hide_credentials=false"


説明:

config.anonymous = anonymous コンシューマの uuid

5.3. ACL プラグインを追加する


 IAM ポータル 
 Rest API 







ACL を有効にする
curl -i -X POST http://localhost:8001/routes/crud-route/plugins 

--data "name=acl" 

--data "config.whitelist=user"


5.4. ACL とログイン情報で USER を構成する


 IAM ポータル 
 Rest API 






コンシューマグループを追加する
curl -i -X POST 

--url http://localhost:8001/consumers/user/acls 

--data "group=user"
コンシューマのログイン情報を追加する
curl -i -X POST http://localhost:8001/consumers/user/basic-auth 

--data "username=user" 

--data "password=user"


5.5. テスト


 元の API 
 プロキシ API 




レガシー
curl –i --location --request GET 'http://localhost:52773/crud/persons/all' 

--header 'Authorization:Basic dXNlcjp1c2Vy'



KONG
curl –i --location --request GET 'http://localhost:8000/persons/all' 

--header 'Authorization:Basic dXNlcjp1c2Vy'


6. 演習: レート制限

認証されていないユーザーを有効にする
認証されていないユーザーのレートを 1 分あたり 2 回の呼び出しに制限する

6.1. ソリューション

認証されていないユーザーを有効にする



 IAM ポータル 
 Rest API 






コンシューマグループを追加する
curl -i -X POST 

--url http://localhost:8001/consumers/anonymous/acls 

--data "group=user"



認証されていないユーザーのレートを 1 分あたり 2 回の呼び出しに制限する



 IAM ポータル 
 Rest API 






レート制限のあるコンシューマを追加する
curl -i -X POST 

--url http://localhost:8001/consumers/anonymous/plugins 

--data "name=rate-limiting" 

--data "config.limit_by=consumer" 

--data "config.minute=2"


7. 開発者ポータル

7.1. 概要
Kong Developer Portal（Kong 開発者ポータル）では以下が提供されます。

すべての開発者が信頼できる唯一の情報源
直感的なドキュメントのコンテンツ管理
合理化された開発者オンボーディング
ロールベースのアクセス制御（RBAC）


7.2. 有効化


 IAM ポータル 
 Rest API 






curl -X PATCH http://localhost:8001/workspaces/default --data "config.portal=true"


7.3. 最初の仕様を追加する


 IAM ポータル 
 Rest API 







curl -X POST http://localhost:8001/default/files -F "path=specs/iam-training.yml" -F "contents=@misc/spec.yml"


7.4. テスト
http://localhost:8003/default/documentation/iam-training

何が起こりましたか？
これを解決するには？
7.5. 演習

CORS プラグインをルートに追加する

7.5.1. ソリューション


 IAM ポータル 
 Rest API 






CORS を有効にする
curl -i -X POST http://localhost:8001/routes/crud-route/plugins 

--data "name=cors"


8. 開発者ポータル（その 2）: 認証
8.1. Basic 認証を有効にする


 IAM ポータル 
 セッション構成（JSON） 






{
"cookie_secure": false,
"cookie_name": "portal_session",
"secret": "SYS",
"storage": "kong"
}

ロールを有効にする
curl -i -X POST http://localhost:8001/default/developers/roles 

--data "name=dev"


8.2.2. 仕様にロールを追加する


 IAM ポータル 
 Rest API 






ロールを有効にする
curl 'http://localhost:8001/default/files/specs/iam-training.yml' -X PATCH -H 'Accept: application/json, text/plain, /'  --compressed -H 'Content-Type: application/json;charset=utf-8' -H 'Origin: http://localhost:8002' -H 'Referer: http://localhost:8002/default/portal/permissions/' --data-raw $'{"contents":"x-headmatter:\n  readable_by:\n    - dev\nswagger: '2.0'\ninfo:\n  title: InterSystems IRIS REST CRUD demo\n  description: Demo of a simple rest API on IRIS\n  version: '0.1'\n  contact:\n    email: apiteam@swagger.io\n  license:\n    name: Apache 2.0\n    url: 'http://www.apache.org/licenses/LICENSE-2.0.html'\nhost: 'localhost:8000'\nbasePath: /\nschemes:\n  - http\nsecurityDefinitions:\n  basicAuth:\n    type: basic\nsecurity:\n  - basicAuth: []\npaths:\n  /:\n    get:\n      description: ' PersonsREST general information '\n      summary: ' Server Info '\n      operationId: GetInfo\n      x-ISC_CORS: true\n      x-ISC_ServiceMethod: GetInfo\n      responses:\n        '200':\n          description: (Expected Result)\n          schema:\n            type: object\n            properties:\n              version:\n                type: string\n        default:\n          description: (Unexpected Error)\n  /persons/all:\n    get:\n      description: ' Retreive all the records of Sample.Person '\n      summary: ' Get all records of Person class '\n      operationId: GetAllPersons\n      x-ISC_ServiceMethod: GetAllPersons\n      responses:\n        '200':\n          description: (Expected Result)\n          schema:\n            type: array\n            items:\n              $ref: '#/definitions/Person'\n        default:\n          description: (Unexpected Error)\n  '/persons/{id}':\n    get:\n      description: ' Return one record fo Sample.Person '\n      summary: ' GET method to return JSON for a given person id'\n      operationId: GetPerson\n      x-ISC_ServiceMethod: GetPerson\n      parameters:\n        - name: id\n          in: path\n          required: true\n          type: string\n      responses:\n        '200':\n          description: (Expected Result)\n          schema:\n            $ref: '#/definitions/Person'\n        default:\n          description: (Unexpected Error)\n    put:\n      description: ' Update a record in Sample.Person with id '\n      summary: ' Update a person with id'\n      operationId: UpdatePerson\n      x-ISC_ServiceMethod: UpdatePerson\n      parameters:\n        - name: id\n          in: path\n          required: true\n          type: string\n        - name: payloadBody\n          in: body\n          description: Request body contents\n          required: false\n          schema:\n            type: string\n      responses:\n        '200':\n          description: (Expected Result)\n        default:\n          description: (Unexpected Error)\n    delete:\n      description: ' Delete a record with id in Sample.Person '\n      summary: ' Delete a person with id'\n      operationId: DeletePerson\n      x-ISC_ServiceMethod: DeletePerson\n      parameters:\n        - name: id\n          in: path\n          required: true\n          type: string\n      responses:\n        '200':\n          description: (Expected Result)\n        default:\n          description: (Unexpected Error)\n  /persons/:\n    post:\n      description: ' Creates a new Sample.Person record '\n      summary: ' Create a person'\n      operationId: CreatePerson\n      x-ISC_ServiceMethod: CreatePerson\n      parameters:\n        - name: payloadBody\n          in: body\n          description: Request body contents\n          required: false\n          schema:\n            type: string\n      responses:\n        '200':\n          description: (Expected Result)\n        default:\n          description: (Unexpected Error)\ndefinitions:\n  Person:\n    type: object\n    properties:\n      Name:\n        type: string\n      Title:\n        type: string\n      Company:\n        type: string\n      Phone:\n        type: string\n      DOB:\n        type: string\n        format: date-time\n"}'


ここでは、次の箇所が重要です。
x-headmatter:
  readable_by:
    - dev

次のドキュメントを参照してください: 「readable_by attribute」（readable_by 属性）
8.2.3. テスト
8.2.3.1. 新しい開発者を登録する

8.2.3.2. この開発者を承認する

8.2.3.3. この開発者のロールを追加する


curl 'http://localhost:8001/default/developers/dev@dev.com' -X PATCH --compressed -H 'Content-Type: application/json;charset=utf-8' -H 'Cache-Control: no-cache' -H 'Origin: http://localhost:8002' -H 'DNT: 1' -H 'Connection: keep-alive' -H 'Referer: http://localhost:8002/default/portal/permissions/dev/update' -H 'Pragma: no-cache' --data-raw '{"roles":["dev"]}'

8.3. 開発者向け Oauth2 を追加する
ここでは、開発者が安全に crud API を使用できるよう、Oauth2 認証を追加します。
このフローでは、開発者自身が登録を行い、crud API へのアクセス権を付与します。
8.3.1. その 1: Basic 認証を削除する
これを行うには、Basic 認証を BearToken 認証に置き換えます。
まず、Basic 認証/ACL を無効にします。


 IAM ポータル 
 Rest API 






ACL プラグインを無効にする
curl 'http://localhost:8001/default/routes/afefe836-b9be-49a8-927a-1324a8597a9c/plugins/3f2e605e-9cb6-454a-83ec-d1b1929b1d30' -X PATCH --compressed -H 'Content-Type: application/json;charset=utf-8' -H 'Cache-Control: no-cache' -H 'Origin: http://localhost:8002' -H 'DNT: 1' -H 'Connection: keep-alive' -H 'Referer: http://localhost:8002/default/plugins/acl/3f2e605e-9cb6-454a-83ec-d1b1929b1d30/update' -H 'Pragma: no-cache' --data-raw '{"enabled":false,"name":"acl","route":{"id":"afefe836-b9be-49a8-927a-1324a8597a9c"},"config":{"hide_groups_header":false,"whitelist":["user","dev","crud"]}}'


8.3.2. その 2: application-registration プラグインを追加する


 IAM ポータル 
 Rest API 






application-registration プラグインを作成する
curl -i -X POST 

--url http://localhost:8001/services/crud/plugins 

--data 'name=application-registration' 

--data 'config.auth_header_name=authorization' 

--data 'config.auto_approve=true' 

--data 'config.display_name=auth' 

--data 'config.enable_client_credentials=true'


8.3.3. リンクサービスとドキュメント


 IAM ポータル 
 Rest API 






curl 'http://localhost:8001/default/document_objects' --compressed -H 'Content-Type: application/json;charset=utf-8' -H 'Cache-Control: no-cache' -H 'Origin: http://localhost:8002' -H 'DNT: 1' -H 'Connection: keep-alive' -H 'Referer: http://localhost:8002/default/services/create-documentation' -H 'Pragma: no-cache' --data-raw '{"service":{"id":"7bcef2e6-117c-487a-aab2-c7e57a0bf61a"},"path":"specs/iam-training.yml"}'


8.3.3.1. テスト
dev@dev.com としてログインした開発者ポータルで、新しいアプリケーションを作成します。

client_id と client_secret を提供されます。
これらの情報は、Swagger 開発者ポータルで使用できます。
このアプリケーションを crud サービスに登録します。

トークンを取得する:

curl --insecure -X POST https://localhost:8443/persons/oauth2/token 

--data "grant_type=client_credentials" 

--data "client_id=2TXNvDqjeVMHydJbjv9t96lWTXOKAtU8" 

--data "client_secret=V6Vma6AtIvl04UYssz6gAxPc92eCF4KR"

トークンを使用する:

curl --insecure -X GET https://localhost:8443/persons/all 

--header "authorization: Bearer u5guWaYR3BjZ1KdwuBSC6C7udCYxj5vK"

9. セキュアな管理ポータル
9.1. 管理者を作成する
シードパスワードなしでKong をブートしました。
そのため、RBAC を適用する前に、管理者を作成する必要があります。
これを行うために、次を行ってください。

［チーム］に移動します。
管理者を招待します。

メールを設定します。
ユーザー名を設定します。

ロールをスーパー管理者に設定します。


招待します。


［招待された管理者］に移動します。
表示します。
リンクを生成します。


9.2. Kong Manager の Basic 認証を有効にする
この機能を有効にするには、docker-compose ファイルに変更を加える必要があります。
次のコードを iam サービスの環境に追加します。
      KONG_ENFORCE_RBAC: 'on'
      KONG_ADMIN_GUI_AUTH: 'basic-auth'
      KONG_ADMIN_GUI_SESSION_CONF: '{"secret":"${IRIS_PASSWORD}","storage":"kong","cookie_secure":false}'

コンテナを再起動します。

docker-compose down && docker-compose up -d

招待された管理者のリンクに移動します。
http://localhost:8002/register?email=test.test%40gmail.com&username=admin&token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE2MTYzMzYzNzEsImlkIjoiY2JiZGE5Y2UtODQ3NS00MmM2LTk4ZjItNDgwZTI4MjQ4NWNkIn0.sFeOc_5UPIr3MdlQrgyGvmvIjRFvSn3nQjo2ph8GrJA

9.3. RBAC で Kong Admin API を使用する
RBAC が設定されたため、Kong Admin API は使用できません。

curl -s -X GET 

--url http://localhost:8001/routes

このエラーが発生します。
{"message":"Invalid credentials. Token or User credentials required"}

9.3.1. トークンで管理者ユーザーを作成する

［チーム］に移動します。
RBAC ユーザー
新しいユーザーを追加



curl -s -X GET 

--url http://localhost:8001/routes 

--header "Kong-Admin-Token: SYS"

10. プラグイン

Kong には品質の高いプラグインが付属しています。
しかし、組み込まれていないプラグインが必要となった場合は、どうすればよいのでしょうか。 コミュニティプラグインを使用する場合はどうすればよいのでしょうか。
この章では、コミュニティプラグインとそのインポート方法について説明します。
その後で、独自のプラグインの構築方法を確認しましょう。
10.1. コミュニティプラグインをインポートする
このステップでは、jwt-crafter プラグインを使用することにします。
これは、Kong 自体で JWT トークンを生成できるようにするプラグインで、トーク生成を行う上流のサービスに頼る必要がなくなります。
このプラグインは次の場所にあります。
https://github.com/grongierisc/kong-plugin-jwt-crafter

docker バージョンを使用しているため、このプラグインをインストールするには、プラグインを組み込む新しいイメージを構築する必要があります。
10.1.1. コミュニティプラグインで新しい Kong/IAM docker イメージを構築する

この Git のルートに「iam」というフォルダを作成します。
この新しいフォルダに dockerfile を作成します。
「plugins」というフォルダを作成します。

すべてのコミュニティプラグインを追加する場所です。


docker-compose ファイルを更新して、新しいプラグインを有効にします。

plugins フォルダで、コミュニティプラグインの git clone を実行します。

git clone https://github.com/grongierisc/kong-plugin-jwt-crafter

dockerfile は次のようになります。
FROM intersystems/iam:1.5.0.9-4

USER root
COPY ./plugins /custom/plugins

RUN cd /custom/plugins/kong-plugin-jwt-crafter && luarocks make

USER kong

この dockerfile で何を確認できますか？
コミュニティプラグインをインストールするには、ルートフォルダ（rockspec のある場所）に移動して、luarocks make を呼び出しています。 それだけです。 これでプラグインをインストールできました。
docker-compose の方では次を行います。

iam イメージタグを編集します。

intersystems/iam:1.5.0.9-4 -> intersystems/iam-custom:1.5.0.9-4


ビルドコンテキストを追加します。

    build: 
      context: iam
      dockerfile: dockerfile


環境変数でプラグインを有効にします。

KONG_PLUGINS: 'bundled,jwt-crafter'

これで新しい IAM イメージをビルドします。

docker-compose build iam

10.1.2. テスト

docker-compose up -d

［プラグイン］->［新規］に移動すると、リストの最後に  jwt-crafter プラグインが表示されているはずです。

10.1.2.1. 使ってみる

新しいサービスを作成します。



 IAM ポータル 
 Rest API 






サービスを作成する
curl -i -X POST 

--url http://localhost:8001/services/ 

--data 'name=crud-persons' 

--data 'url=http://iris:52773/crud/persons/'



ルートを作成します。



 IAM ポータル 
 Rest API 






ルートを作成する
curl -i -X POST 

--url http://localhost:8001/services/crud-persons/routes 

--data 'name=crud-route-jwt' 

--data 'paths=/crud/persons/*' 

--data 'strip_path=true'

プラグインを作成する
curl -i -X POST 

--url http://localhost:8001/services/crud-persons/plugins 

--data 'name=request-transformer' 

--data 'config.add.headers=Authorization:Basic U3VwZXJVc2VyOlNZUw==' 

--data 'config.replace.headers=Authorization:Basic U3VwZXJVc2VyOlNZUw=='

これで完了です。 jwt-crafter の実際の使用は次のようになります。

# acl をルートに追加する
curl -i -X POST http://localhost:8001/routes/crud-route-jwt/plugins \
    --data "name=acl"  \
    --data "config.whitelist=test" \
    --data "config.hide_groups_header=false"

# サービスを作成する
curl -i -X POST \
  --url http://localhost:8001/services/ \
  --data 'name=jwt-login' \
  --data 'url=http://neverinvoked/'

# ルートを作成する
curl -i -X POST \
  --url http://localhost:8001/services/jwt-login/routes \
  --data 'name=jwt-login-route' \
  --data 'paths=/jwt/log-in'

# サービスの Basic 認証を有効にする
curl -i -X POST http://localhost:8001/routes/jwt-login-route/plugins \
    --data "name=basic-auth"  \
    --data "config.hide_credentials=false"

# サービスの Basic 認証を有効にする
curl -i -X POST http://localhost:8001/routes/jwt-login-route/plugins \
    --data "name=jwt-crafter"  \
    --data "config.expires_in=86400"

# コンシューマを追加する
curl -i -X POST \
   --url http://localhost:8001/consumers/ \
   --data "username=test"

# コンシューマグループを追加する
curl -i -X POST \
   --url http://localhost:8001/consumers/test/acls \
   --data "group=test"

# コンシューマのログイン情報を追加する
curl -i -X POST http://localhost:8001/consumers/test/basic-auth \
    --data "username=test" \
    --data "password=test"
curl -i -X POST http://localhost:8001/consumers/test/jwt \
    --data "key=test" \
    --data "algorithm=HS256"

# JWT プラグイン
curl -i -X POST http://localhost:8001/routes/crud-route-jwt/plugins \
    --data "name=jwt" 

テストしよう！

# test:test は base64 でエンコーディングされている
curl -H 'Authorization: basic dGVzdDp0ZXN0' localhost:8000/jwt/log-in

curl --location --request GET 'http://localhost:8000/crud/persons/all' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW0iOiJ0ZXN0Iiwic3ViIjoiODJiNjcwZDgtNmY2OC00NDE5LWJiMmMtMmYxZjMxNTViN2E2Iiwicm9sIjpbInRlc3QiXSwiZXhwIjoxNjE2MjUyMTIwLCJpc3MiOiJ0ZXN0In0.g2jFqe0hDPumy8_gG7J3nYsuZ8KUz9SgZOecdBDhfns'

10.2. 新しいプラグインを作成する

これは lua を学習する場所ではありませんが、IAM を素早く再起動して新しい開発をテストする方法などのヒントをいくつか紹介します。

10.2.1. ファイル構造

kong-plugin-helloworld
├── kong
│   └── plugins
│       └── helloworld
│           ├── handler.lua
│           └── schema.lua
└── kong-plugin-helloworld-0.1.0-1.rockspec

表記法により、Kong プラグインには kong-plugin のプレフィックスを付ける必要があります。

この例では、プラグインの名前を helloworld とします。

次の 3 つのファイルは必須ファイルです。

• handler.lua: プラグインのコアです。 実装のインターフェースで、各関数は、リクエスト/接続のライフサイクルにおいて希望する時点で実行されます。
• schema.lua: プラグインはおそらく、ユーザーが入力した構成を維持する必要があります。 このモジュールは、その構成のスキーマを保持し、ユーザーが有効な構成値のみを入力できるようにルールを定義します。
• *.rockspec: Rockspec: 仕様ファイルのパッケージです。宣言的な Lua スクリプトで、ロック *.rockspec （テーブルが含まれる Lua ファイル）を構築してパッケージ化する方法に関するルールが含まれます。

10.2.1.1. handler.lua

plugins インターフェースでは、handler.lua ファイル内の次のいずれかのメソッドをオーバーライドして、Kong の実行ライフサイクルのさまざまなエントリポイントにカスタムロジックを実装できます。

var id = pm.response.json().id;
var name = pm.response.json().name;
pm.globals.set("service_crud_id", id);
pm.globals.set("service_crud_name", name);


ここで、レスポンスから、新しいサービスの ID と名前を保存します。
次に、次のルートの作成でそれらを使用します。


 画面 
 スクリプト 






service_crud_name = pm.globals.get("service_crud_name");


ここで、グローバル変数「service_crud_name」を取得します。
次に、それを実際の呼び出しで使用します。


 画面 
 スクリプト 






{
"paths": [
"/persons/*"
],
"protocols": [
"http"
],
"name": "crud-persons",
"strip_path": false,
"service": {
"name": "{{service_crud_name}}"
}
}


11.1.3.1. ヒント

ペイロードは json または form-data のいずれかです。

form-data:





json:


json 形式を簡単に取得するには、管理者ポータルに移動し、json を表示してコピーします。

11.2. newman で実行する

docker run  --rm -v "pwd/ci/":"/etc/newman" 

--network="iam-training_default" 

-t postman/newman run "DevOps_IAM.postman_collection.json" 

--environment="DevOps_IAM.postman_environment.json"