[新機能] Application Load Balancer(ALB)に新たに追加された認証機能を使う（独自IdP編）

小室啓

2018.05.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。こむろです

唐突にALBの組み込み認証機能が追加されました。この認証機能を使うことでアプリケーションに認証機能を実装することなく、手前のLoad Balancerで認証の制御が可能になるということで、とてもインパクトのあるアップデートかと思います。

OIDCに準拠（IdProvider）の弊社の認証サービスが手元にあったので、今回は独自IdProviderを使い、ALBで認証機能を利用できるようにしてみました。

超簡単。レッツ3分（？）クッキング。

必要なもの

ALBを作成していきます。今回はポート443をListenerとして設定し、HTTPSでリクエストを受けるようにします。完成構成図として雑な構成図を書きました。完成図はこんな感じです。

本来、ALBの裏側のインスタンスの中で可動するアプリケーションが、認証を呼び出す機能などを実装する必要があるのですが入り口のALBが認証機能の呼び出しを行ってくれるようなので、とても楽になります。ALBを通ってきたリクエストはすでに認証済みのものとなるためです。

Application Load Balancerを選択します。

ListenerはHTTPSを選択します。作成済みのVPCを選択し、2個以上のAvailability Zoneを設定します。

HTTPSで通信するために証明書を紐づけます。ACMで管理された証明書を選択します。今回は、以前サンプルで作成した証明書を流用しました。

Security Groupを設定、作成します。Load balancerへ接続するための適切なSecurity Groupを設定しておきます。

サンプルアプリケーションが稼働しているインスタンスをターゲットに参加させます。

作成したLoad balancerがActiveになるまで待ちます。

ここからが本番です。Ruleを編集して認証機能を追加していきましょう。作成したLoad Balancerを選択し、Listenerタブを開きます。

View/Edit Rule をクリックします。

Ruleの編集画面です。 IF~THEN とブロックの構造になっておりとてもわかり易いのではないでしょうか。

上部タブの + タブを押すとRuleの追加画面になります。ここで Insert Rule を押すとRuleの追加編集画面が出てきます。

Add Condition をクリックすると2つの選択肢が出てきます。 Host is..., Path is... 今回は、すべてのPathに対して認証機能を有効にしたいので、 Path is... を選択し /* を入力します。青い丸チェックを押すと、設定が適用されます。

条件が決まったので次は、Actionを定義します。 Add Action をクリックすると、 Forward to..., Authenticate... が出てくるのがわかります。認証機能を挟むために Authenticate... を選択します。

Authenticateは Cognito と OIDC が選択できるようです。prismatix 認証サービスはOIDC準拠（IdProvider）の認証基盤なのでOIDCを選択します。

多くの設定項目が出てきました。こちらを埋めていきます。

項目名	説明
issuer	JWTの発行者。 `https://` から始まるURL
Authorization Endpoint	ユーザーの認証及び認可委譲の承諾を得るためのエンドポイント
Token Endpoint	アクセストークンを発行するためのエンドポイント
Userinfo Endpoint	リソースオーナーのOIDCユーザー情報表現を取得ためのエンドポイント
Client Id	Relying PartyのID
Client Secret	Relying PartyのSecretKey