Auth JWT

O runner de Auth JWT (AUTH_JWT) é o plugin especializado no gerenciamento, validação e manipulação de tokens JSON Web Token (JWT) e integração com provedores de identidade (IdPs) externos (como Keycloak, Auth0, Okta, Azure AD ou servidores OAuth2/OIDC).

Ele permite assinar, validar a integridade e criptografia de tokens, inspecionar reivindicações (claims), validar prazos de expiração (exp, nbf) e extrair informações de perfil e permissões diretamente durante o fluxo de orquestração.

---

Ciclo de Funcionamento

1. Resolução da Instância/Chaves

   O runner obtém as chaves públicas/privadas, algoritmos de assinatura (HS256, RS256) ou segredos configurados na instância do provedor de autenticação.

2. Interpolação de Parâmetros

   Submete o token JWT recebido (geralmente via cabeçalho ou entrada) ao motor de substituição para resolução do texto bruto do token.

3. Execução da Operação Criptográfica

Validação / Decodificação (`DECODE_VALIDATE`)

Verifica a assinatura do token usando a chave/certificação da instância e checa a expiração. Se válido, extrai o Header e o Payload (claims).

Geração / Emissão (`GENERATE`)

Constrói um novo token JWT assinado contendo os claims informados e o tempo de expiração definido.

4. Mapeamento no Histórico

   O resultado da validação ou o novo token gerado é armazenado no histórico da etapa (historico.alias.body), liberando os claims extraídos para uso pelos nós subsequentes.

Caution

A validação verifica a assinatura do token usando a chave/certificação da instância e checa a expiração (exp, nbf). Tokens expirados são rejeitados durante a operação DECODE_VALIDATE.

---

Parâmetros e Formulário de Configuração

Os parâmetros deste runner são configurados no Editor Visual e serializados no mapa de definição da etapa:

Campo no Formulário / Atributo JSON	Tipo	Obrigatório	Descrição
bdot:instancia	String	Sim	Nome ou identificador da instância do Provedor de Identidade/JWT cadastrada no ambiente.
bdot:operacao	String	Sim	Operação a ser realizada (VALIDATE, DECODE, GENERATE).
bdot:token	String	Condicional	Token JWT a ser validado ou decodificado. Aceita interpolação (ex: ${entrada.auth.token}). Obrigatório para VALIDATE e DECODE.
bdot:claims	String (JSON)	Condicional	Objeto JSON contendo os claims customizados a serem inseridos no payload do novo token. Obrigatório se bdot:operacao = GENERATE.
bdot:tempoExpiracao	Long	Condicional	Tempo de validade do token em segundos a partir da emissão. Utilizado na operação GENERATE.

---

Exemplo de Configuração JSON da Etapa

Exemplo da estrutura das chaves bdot:* geradas pelo Editor Visual para este runner:

definicao.json

{
  "bdot:instancia": "idp_keycloak_corporativo",
  "bdot:operacao": "VALIDATE",
  "bdot:token": "${entrada.auth.token}"
}