amazon-web-services - AWS AppSync with Firebase 作为 OpenID Connect 提供商

Question

我想使用 firebase auth 来保护我的 AWS AppSync graphql api，而不是像 Cognito 这样的东西。这背后有几个原因，例如定价，以及我们已经在使用其他一些 firebase 服务。

我认为 atm 唯一可行的解​​决方案是以某种方式将 firebase 用户 token 传递到我的 AppSync graphql api 并通过 OpenID Connect/OIDC 对其进行验证。

我无法弄清楚这一点，也找不到关于该主题的任何指南，所以想在这里询问是否有可能，如果可以，是否可以提供任何示例或使用完整的引用资料？

以下是OpenID连接数据需要提供给AppSync的相关字段https://docs.aws.amazon.com/cdk/api/latest/docs/@aws-cdk_aws-appsync.OpenIdConnectConfig.html

这些是否存在用于 firebase 身份验证？

更新:我找到了一些关于 firebase token 验证的文档 https://firebase.google.com/docs/auth/admin/verify-id-tokens#verify_id_tokens_using_a_third-party_jwt_library

我相信以下 URL 是 AppSync 中需要用作 OpenID url 设置的内容 https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com

但是 AppSync 文档指出他们将 /.well-known/openid-configuration 附加到此类 url，当我对上面的 googleapis url 执行此操作时，它会抛出 404。

Answer 1

AppSync 需要一个 OpenID Connect 提供程序 (OP)。更具体地说，它需要 OP 的发行人；其余的元数据是基于此检索的。来自 AppSync doc :

OPENID_CONNECT Authorization

This authorization type enforces OpenID Connect (OIDC) tokens provided by an OIDC-compliant service.Your application can leverage users and privileges defined by yourOIDC provider for controlling access.

An Issuer URL is the only required configuration value that youprovide to AWS AppSync (for example, https://auth.example.com). ThisURL must be addressable over HTTPS. AWS AppSync appends/.well-known/openid-configuration to the issuer URL and locates theOpenID configuration athttps://auth.example.com/.well-known/openid-configuration per theOpenID Connect Discovery specification

Firebase(主要)是一个中间件。即使您可以将用户帐户驻留在 Firebase 中，但更典型的用例是将 Google 或 Microsoft 等提供商插入 Firebase。然后，您可以使用 Firebase API 执行各种操作，而无需了解底层提供程序的详细信息。

无论是作为中间件还是作为 Firebase 中用户的身份存储，尚不清楚 Firebase 是否是符合 OIDC 标准的提供商。 OpenID 发布 OIDC 一致性测试以及 entities that have been certified .后一个列表中唯一的 Google 实体是“Google Federated Identity”。除了认证，Firebase 确实发布了一个签名的 JWT according to them在道德上等同于 id_token在 OIDC 中:

ID token verification

If your Firebase client app communicates withyour backend server, you might need to identify the currentlysigned-in user on your server so you can perform server-side logic ontheir behalf. You can do this securely by using ID tokens, which arecreated by Firebase when a user signs into an Firebase app.

ID tokensconform to the OpenID Connect spec and contain data to identify auser, as well as some other profile and authentication relatedinformation. You can send, verify, and inspect these tokens from yourown backends. This allows you to securely identify the currentlysigned in user and authorize them into your own backend resources.

如果您创建一个 Firebase 项目，然后通过该项目进行身份验证并检查颁发的 token ，您将看到 iss (发行者) token 有效负载中的 key 。它的值为 https://securetoken.google.com/<Firebase projectId>这就是 AppSync 所需的 URL。

您可以通过连接 /.well-known/openid-configuration 来确认 OIDC 元数据可用。与 https://securetoken.google.com/<Firebase projectId>并对生成的 URL 执行 GET。预期的响应应如下所示:

{
  "issuer": "https://securetoken.google.com/<Firebase project id>",
  "jwks_uri": "https://www.googleapis.com/service_accounts/v1/jwk/securetoken@system.gserviceaccount.com",
  "response_types_supported": [
    "id_token"
  ],
  "subject_types_supported": [
    "public"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ]
}