JWT 認証

概要

JWTトークン認証では、ユーザー固有のCorgea APIトークンの代わりに、Microsoft Entra IDやOktaなど、IDプロバイダー(IdP)から直接発行されたベアラートークンを使ってCorgea APIを呼び出すことができます。これは、CI/CDパイプライン、自動スキャナー、社内ツールなどシステム間統合において推奨されるアプローチです。

特定のユーザーアカウントではなく、サービスプリンシパルやアプリ登録に紐づくトークン
IdPが制御するトークンの寿命と範囲
Corgeaに手を出さずに、IdPを通じて一元で取り消しを行う

Corgea APIトークンは常に個々のユーザーに紐づいています。そのユーザーが退出したりアカウントが無効化されたりすると、そのトークンを使った自動化は無効になります。JWT認証は認証をユーザーアカウントから完全に切り離します。

仕組み

システムがクライアント認証情報（クライアントIDとシークレット）を使用して、IdPにアクセストークンを要求します。
IdPが、iss（発行者）やaud（オーディエンス）などのクレームを含む署名済みJWTを返します。
システムがCorgea APIを呼び出す際に、AuthorizationヘッダーでBearerトークンとして渡します。
CorgeaがIdPの公開鍵でトークンの署名を検証し、iss、aud、appid/cidクレームが登録済みの設定と一致することを確認します。

Corgea CLIでJWTを利用する

CLIログインフローでJWTアクセストークンを直接利用できます:

corgea login YOUR_JWT_TOKEN

または環境変数で設定することもできます:

export CORGEA_TOKEN="your-jwt-access-token"
corgea login

$env:CORGEA_TOKEN="your-jwt-access-token"
corgea login

CorgeaでのJWT認証の設定

Settings → Integrationsに移動し、JWT Authenticationセクションの**+ Add**をクリックします。

以下の項目に記入してください:

フィールド	説明
名前	この構成の記述ラベル(例: `Entra CICD Pipeline`)。
発行者	トークン発行者のURLはアクセストークン内の `iss` クレームと一致しなければなりません。
オーディエンス	アクセストークンの `aud` クレームと一致しなければなりません。
許可されたアプリケーションID	1行につき1つのクライアントIDを使い、この構成を使用できるアプリケーションです。

jwt.ioを使ってIdPからアクセストークンをデコードし、iss、aud、appid/cidの正確な値を確認してからフォームに記入してください。

提供者固有の値:

Entra ID発行者: https://sts.windows.net/{your-tenant-id}/
Entra IDオーディエンス:アプリのApplication ID URI（例:api://{client_id}）。EntraのExpose an APIで設定します
Okta発行者: https://{domain}.okta.com/oauth2/default
Oktaオーディエンス: api://default (またはカスタム認証サーバーオーディエンス)

Microsoft Entra ID設定

Entraでアプリケーションを登録する

Azure portalで、Microsoft Entra ID → App registrations → New registrationに移動します。アプリに分かりやすい名前（例:corgea-cicd）を付けて登録します。

APIを公開し、Application ID URIを設定します

アプリの登録でExpose an APIを開きます。Application ID URIを設定または確認します — これがこのアプリで発行されるトークンのaudクレームとなります。

Application ID URI(例: api://5d63c8f0-c9a8-4195-90ee-a9e27e4510b8)をコピーしてください。これはCorgeaの オーディエンス として入力されます。

クライアントシークレットを作成する

Certificates & secrets → New client secretを開きます。説明と有効期限を設定し、Addをクリックします。

シークレットの値をコピーします。この値は一度しか表示されないため、CI/CDのシークレットストアなどに安全に保存してください。

アクセストークンを要求

システムはクライアントの認証フローを使ってEntraにトークンを要求しています:

curl -X POST \
  https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token \
  -d "grant_type=client_credentials" \
  -d "client_id={client-id}" \
  -d "client_secret={client-secret}" \
  -d "scope=api://{client-id}/.default"

Invoke-RestMethod -Method Post `
  -Uri "https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "{client-id}"
    client_secret = "{client-secret}"
    scope         = "api://{client-id}/.default"
  }

レスポンスにはaccess_tokenが含まれています。Corgeaを呼ぶ際にはこれをベアラートークンとして渡してください:

curl -H "Authorization: Bearer {access_token}" https://www.corgea.app/api/...

Invoke-RestMethod -Uri "https://www.corgea.app/api/..." `
  -Headers @{ Authorization = "Bearer {access_token}" }

プライベートデプロイの場合は https://www.corgea.app を https://your_instance.corgea.app に置き換えてください。

Corgeaに設定を登録

CorgeaのAdd JWT Auth Configurationフォームに次の値を入力します。

発行者: https://sts.windows.net/{your-tenant-id}/
オーディエンス:ステップ2のアプリケーションID URI(例: api://5d63c8f0-...)
Allowed Application ID:アプリ登録のApplication (client) ID

Addをクリックして保存します。

Postmanとのテスト

CurlよりGUIを好む場合は、PostmanでトークンリクエストやAPI呼び出しを直接テストできます。 curlコマンドをインポートする Postmanでは、上記のcurlコマンドをリクエストに変換できます。左上のImportをクリックしてcurlコマンドを貼り付けると、メソッド、URL、ヘッダー、ボディが自動的に入力されます。

アクセストークンのリクエスト tenant-id、client_id、client_secret、scopeをボディ欄に記入し、リクエストを送信します。レスポンスのaccess_token 値をコピーしてください。

トークンを使ってCorgea APIを呼び出します Corgeaエンドポイントへの新しいリクエストを作成します。Authorizationタブで、TypeをBearer Tokenに設定し、access_tokenを貼り付けます。

もし会社がアウトバウンドネットワークアクセスを制限しているなら、プロキシの設定が必要かもしれません。Postmanで 設定→プロキシ に行き、企業プロキシを追加します。curlの場合は、 HTTPS_PROXY 環境変数を設定するかパス --proxy https://your-proxy:port。

トークンの検証

Corgeaを設定する前に jwt.io を使ってアクセストークンをデコードしてください。トークンをデバッガに貼り付け、 デコード済みペイロード を確認して、 iss、 aud、 appid の値を確認してください。

jwt.io で JWT トークンを解読してISSおよびAUDクレームを検証する

強調された aud と iss フィールドは、Corgeaが受信リクエストの検証時に確認するものです。

トラブルシューティング

401 Unauthorized: jwt.io でトークンをデコードし、 iss、 aud、 appid がCorgea JWT認証設定の値と正確に一致していることを確認します。
ローテーション後にトークンが拒否された場合:クライアントシークレットをローテーションした場合、新しいシークレットがCI/CD環境で更新されていることを確認してください。Corgeaの設定自体は、トークンクレームを検証するため変更する必要がありません。
複数環境:Corgeaで各アプリケーションや環境(例:ステージングと本番環境)ごとに、異なるクライアントIDを持つ異なるアプリ登録を用いて、別々のJWT認証設定を作成します。

ネットワーク接続の問題

トークン要求やAPI呼び出しが接続エラーで失敗した場合は、これらのコマンドを使ってファイアウォールやプロキシがトラフィックをブロックしているかどうかを調べてください。

# Check DNS resolution
nslookup login.microsoftonline.com
nslookup www.corgea.app

# Check TCP connectivity on port 443
nc -zv login.microsoftonline.com 443
nc -zv www.corgea.app 443

# Trace the network path
traceroute login.microsoftonline.com

# Test with verbose curl output (shows TLS handshake and redirect chain)
curl -v https://login.microsoftonline.com

# Test through a proxy if required
curl -v --proxy https://your-proxy:port https://login.microsoftonline.com

# Check DNS resolution
Resolve-DnsName login.microsoftonline.com
Resolve-DnsName www.corgea.app

# Check TCP connectivity on port 443
Test-NetConnection -ComputerName login.microsoftonline.com -Port 443
Test-NetConnection -ComputerName www.corgea.app -Port 443

# Trace the network path
tracert login.microsoftonline.com

# Test with verbose curl output
curl.exe -v https://login.microsoftonline.com

# Test through a proxy if required
curl.exe -v --proxy https://your-proxy:port https://login.microsoftonline.com

TCP接続テストが失敗したり、tracerouteが内部ホップで停止した場合は、ネットワークやセキュリティチームに連絡して、アウトバウンドHTTPS(ポート443)を login.microsoftonline.com ・ www.corgea.appできるようにします。

スタートガイド

主な機能

インテグレーション

ツールとユーティリティ

リリース

信頼性とコンプライアンス

認証

概要

仕組み

Corgea CLIでJWTを利用する

CorgeaでのJWT認証の設定

Microsoft Entra ID設定

Postmanとのテスト

トークンの検証

トラブルシューティング

ネットワーク接続の問題

​概要

​仕組み

​Corgea CLIでJWTを利用する

​CorgeaでのJWT認証の設定

​Microsoft Entra ID設定

​Postmanとのテスト

​トークンの検証

​トラブルシューティング

​ネットワーク接続の問題

概要

仕組み

Corgea CLIでJWTを利用する

CorgeaでのJWT認証の設定

Microsoft Entra ID設定

Postmanとのテスト

トークンの検証

トラブルシューティング

ネットワーク接続の問題