Authentication & Authorization

外部で認証

Auth0（自分の場合の例）がJWTを発行する
JWTはリクエストに含められる
GraphQLエンジンによって検証・復号される
- GraphQLエンジンはアクセス制御ルールを評価するために必要なメタデータを取得する
JWT modeにする必要がある
- x-hasura-* headersを見るようになる
  - JWTがデコードされ、署名が検証される
  - ユーザーの要求したロール（リクエストで指定されている場合）が、許可されたロールのリストに含まれているかどうかがアサートされる
  - 希望するロールがリクエストで指定されていない場合は、デフォルトのロールが適用される
  - 認可がパスした場合、クレーム内のすべてのx-hasura-*値がパーミッション・システムに使用される
前提条件としてJWT modeを有効にするには、まずGraphQLエンドポイントをセキュアにする必要がある
JWT 認証は
- X-Hasura-Admin-Secret ヘッダーがリクエストに見つからない場合に実施される
- リクエストにX-Hasura-Admin-Secretヘッダーがあり、管理者アクセスが許可されている場合はスキップされる

JWTには、claimのカスタムnamespaceにx-hasura-default-role, x-hasura-allowed-rolesが含まれている必要がある
その他のx-hasura-*フィールドは任意であり、定義されたパーミッションに応じて必要となる
ユーザーのロールを示すために、リクエストのヘッダとしてx-hasura-roleを送ることができる
JWTをAuthorization headerにAuthorization: Bearer <JWT>として送信

JWT modeを有効にするには、--jwt-secretフラグまたはHASURA_GRAPHQL_JWT_SECRET環境変数（JSONオブジェクトの値）を使用する