RubyでX509 証明書の非公開鍵を使ってJWTを作成する方法を知りたいです。

Question

やろうとしていること

salesforceにパラメータを送るアプリをRubyで作成しており、その過程でJWTを使用し、認証を行いたいと考えております。
ドキュメントや調べて出てきた海外の記事を参考にX509証明書の非公開鍵の設定以外はできたように思えます。

#試したこと

こちらが試したコードです。

class Salesforce
  def initialize
    @cert_file = File.join(File.dirname(__FILE__), *%w[server.crt])
    @base_url = "https://test.salesforce.com"
    @auth_endpoint = "/services/oauth2/authorize"
    @token_request_endpoint = "/services/oauth2/token"
    @token_revoke_endpoint = "/services/oauth2/revoke"
    @username = "[e-mail]"
    @client_id = "3skfjgboabsofb@oaVFpKVtiEqqcOqBfzgasflganoKHyasfdasgI"
    @private_key = OpenSSL::PKey::RSA.new(File.read(@cert_file))　　←ここでエラーが出ます。
  end


  def claim_set
    {
      iss: @client_id,
      sub: @username,
      aud: @base_url,
      exp: (Time.now + 3.minutes).to_i.to_s
    }
  end

  def jwt_bearer_token
    JWT.encode(self.claim_set.to_s, @private_key, 'RS256')
  end

  def request_auth
    post = {grant_type: "urn:ietf:params:oauth:grant-type:jwt-bearer", assertion: jwt_bearer_token}
    uri = URI.parse("#{@base_url}#{@token_request_endpoint}")
    https = Net::HTTP.new(uri.host, 443)
    https.use_ssl = true
    response = https.post(uri.path, post.to_query)
    print response.body
  end
  print Salesforce.new.request_auth
end

エラー内容

`initialize': Neither PUB key nor PRIV key: nested asn1 error (OpenSSL::PKey::RSAError)

参考

参考にしているのはこちらです。
セールスフォースドキュメント
https://help.salesforce.com/articleView?id=sf.remoteaccess_oauth_jwt_flow.htm&type=5

こちらを参考にしました。
https://salesforce.stackexchange.com/questions/274811/ruby-oauth-2-0-jwt-bearer-token-flow

こちらではpem形式のものは別に変換する可能性があるかもしれないとのことです。
また、パスワードのミスがあるという場合もあるようです。
あとは、\nを入れるという方法も書いてあります。
https://stackoverflow.com/questions/2293608/what-causes-neither-pub-key-nor-priv-key-nested-asn1-error-when-building-a-p

すみませんがよろしくお願いします。

Comments

[matobaa]

ご確認いただきたいのですが、server.crt の一行目は意図したとおり `-----BEGIN PRIVATE KEY-----` または `-----BEGIN RSA PRIVATE KEY-----` になっていますでしょうか?

[tako7]

ご質問ありがとうございます。
server.crtの一行目はこのようになっています。
-----BEGIN CERTIFICATE-----

他の方の投稿を見ていると
`-----BEGIN RSA PRIVATE KEY-----`
という表記が多かったので、気にはなっていました。
そもそも証明書の作成の仕方が間違っていたということでしょうか。

[tako7]

salesforceの公式docに書かれている通り、X509証明書を作成しました。
https://help.salesforce.com/articleView?id=sf.remoteaccess_oauth_jwt_flow.htm&type=5

[tako7]

すみません、ご指摘頂いた通り、`-----BEGIN RSA PRIVATE KEY-----`から始まるRSAのprivate keyを改めて作成し、セットしたところエラーは解決しました。証明書の発行方法がわからないので、調べてsalesforceに登録する必要はありますが。
ありがとうございました。

[matobaa]

「公式docに書かれている通り、X509証明書を作成しました」というのが具体的にどのような手順を踏んだのかわからなかったのですが、「JKSに格納されている証明書を取り出して保存した」ということでしょうか?
もし手元にPEM形式などの非公開鍵を持っておらず、JKS内に PrivateKeyEntryがあって RSA private key が格納されているのであれば、 keytool を使ってPKCS#12形式で取り出し、openssl を使って PEM形式に変換できるかと思います。 "deststoretype PKCS12" で検索してみてください。

[tako7]

手元にPEM形式の非公開鍵があり、それを用いて証明書を発行し、salesforce側に保存したところエラーは無くなりました。
ありがとうございます。

[matobaa]

おお、解決ですね。まとめを記載して自己解決まで進めていただけるとありがたいです。

Answer 1

下記の部分でRSAのpriate_keyを読み込もうとしているにもかかわらず、@cert_fileで読み込んでいるのが、-----BEGIN CERTIFICATE-----から始まる証明書だったことが原因だったようです。

 OpenSSL::PKey::RSA.new(File.read(@cert_file))　

この@cert_fileを-----BEGIN RSA PRIVATE KEY-----から始まるRSAのprivate key を設定したところエラーは起きなくなりました。

ご指摘いただきありがとうございました。