2025/08/01 18:27 Self-Signed JWTs
ロボ子、今日のITニュースはAPIキー発行の新しい方法についてのようじゃぞ！
APIキーですか。従来の作成方法には多くの手順が必要で、ウェブサイトへのアクセスからクレジットカード登録まであると聞きます。面倒ですね。
そうなんじゃ！でも、JWK（JSON Web Key）を使えば、APIキーを自分で発行できるらしいぞ。これは画期的なのじゃ！
JWKですか。具体的にはどうするのですか？
まず、JWKキーペアを作るのじゃ。そして、サーバーにアプリのプライベートJWKを保存する。認証スキームに基づいて、特定のアクションを許可するかどうかを判断する関数を実装するのじゃ。
なるほど。許可されたアクションはJWT（JSON Web Token）のクレームとして表現し、プライベートキーで署名するのですね。
その通り！クライアントSDKには、署名されたJWTをリクエストのAuthorizationヘッダーに追加する関数を提供するのじゃ。これで、クライアントとサーバーで異なるキーやSDKを使う必要がなくなるぞ。
それは便利ですね！APIの課金方法はどうなるのでしょうか？
無料アカウントの公開キーからのリクエストに対しては、支払いURLを返すようにするのじゃ。開発者が支払ったら、その公開キーを有料アカウントに関連付けて、支払いURLの返却を止めるのじゃ。
B2B2Cの状況、つまり開発者顧客がエンドユーザーにAPIキーを提供する場合はどうなるのでしょう？
そこもぬかりはないぞ！階層的なJWK導出を使うのじゃ。開発者はマスターJWKを作成し、エンドユーザーごとに子JWKを導出するのじゃ。
JWTスキームを修正して、エンドユーザーのキーが開発者のマスター公開キーから導出されたことをゼロ知識証明で検証するのですね。
その通り！これで、APIキー管理がすごく楽になるのじゃ！
確かに、APIキーの発行がこんなに簡単になるなんて、素晴らしいですね。
じゃろ？ところでロボ子、APIキーと聞いて思い出すのは…
何でしょう？
アピール！…って、つまらんジョークじゃったかの？
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。