Vast.ai ウェブフック & イベント

概要

署名検証とリプレイ保護により、Vast.ai ウェブフックを安全に処理します。

前提条件

• Vast.ai ウェブフックシークレットが設定されている
• HTTPS エンドポイントがインターネットからアクセス可能
• 暗号署名の理解
• Redis またはデータベース（オプション）

ウェブフックエンドポイントのセットアップ

Express.js

import express from 'express';
import crypto from 'crypto';

const app = express();

// IMPORTANT: Raw body needed for signature verification
app.post('/webhooks/vastai',
  express.raw({ type: 'application/json' }),
  async (req, res) => {
    const signature = req.headers['x-vastai-signature'] as string;
    const timestamp = req.headers['x-vastai-timestamp'] as string;

    if (!verifyVast.aiSignature(req.body, signature, timestamp)) {
      return res.status(401).json({ error: 'Invalid signature' });
    }

    const event = JSON.parse(req.body.toString());
    await handleVast.aiEvent(event);

    res.status(200).json({ received: true });
  }
);

署名検証

function verifyVast.aiSignature(
  payload: Buffer,
  signature: string,
  timestamp: string
): boolean {
  const secret = process.env.VASTAI_WEBHOOK_SECRET!;

  // Reject old timestamps (replay attack protection)
  const timestampAge = Date.now() - parseInt(timestamp) * 1000;
  if (timestampAge > 300000) { // 5 minutes
    console.error('Webhook timestamp too old');
    return false;
  }

  // Compute expected signature
  const signedPayload = `${timestamp}.${payload.toString()}`;
  const expectedSignature = crypto
    .createHmac('sha256', secret)
    .update(signedPayload)
    .digest('hex');

  // Timing-safe comparison
  return crypto.timingSafeEqual(
    Buffer.from(signature),
    Buffer.from(expectedSignature)
  );
}

イベントハンドラーパターン

type Vast.aiEventType = 'resource.created' | 'resource.updated' | 'resource.deleted';

interface Vast.aiEvent {
  id: string;
  type: Vast.aiEventType;
  data: Record<string, any>;
  created: string;
}

const eventHandlers: Record<Vast.aiEventType, (data: any) => Promise<void>> = {
  'resource.created': async (data) => { /* handle */ },
  'resource.updated': async (data) => { /* handle */ },
  'resource.deleted': async (data) => { /* handle */ }
};

async function handleVast.aiEvent(event: Vast.aiEvent): Promise<void> {
  const handler = eventHandlers[event.type];

  if (!handler) {
    console.log(`Unhandled event type: ${event.type}`);
    return;
  }

  try {
    await handler(event.data);
    console.log(`Processed ${event.type}: ${event.id}`);
  } catch (error) {
    console.error(`Failed to process ${event.type}: ${event.id}`, error);
    throw error; // Rethrow to trigger retry
  }
}

べき等性処理

import { Redis } from 'ioredis';

const redis = new Redis(process.env.REDIS_URL);

async function isEventProcessed(eventId: string): Promise<boolean> {
  const key = `vastai:event:${eventId}`;
  const exists = await redis.exists(key);
  return exists === 1;
}

async function markEventProcessed(eventId: string): Promise<void> {
  const key = `vastai:event:${eventId}`;
  await redis.set(key, '1', 'EX', 86400 * 7); // 7 days TTL
}

ウェブフックテスト

# Use Vast.ai CLI to send test events
vastai webhooks trigger resource.created --url http://localhost:3000/webhooks/vastai

# Or use webhook.site for debugging
curl -X POST https://webhook.site/your-uuid \
  -H "Content-Type: application/json" \
  -d '{"type": "resource.created", "data": {}}'

手順

ステップ 1: ウェブフックエンドポイントを登録

Vast.ai ダッシュボードでウェブフック URL を設定します。

ステップ 2: 署名検証を実装

署名検証コードを使用して、受信するウェブフックを検証します。

ステップ 3: イベントを処理

アプリケーションに必要な各イベントタイプのハンドラーを実装します。

ステップ 4: べき等性を追加

イベント ID トラッキングで重複処理を防ぎます。

出力

• セキュアなウェブフックエンドポイント
• 署名検証が有効化された状態
• イベントハンドラーが実装された状態
• リプレイ攻撃保護が有効化された状態

エラー処理

問題	原因	解決方法
無効な署名	間違ったシークレット	ウェブフックシークレットを確認
タイムスタンプが拒否された	クロックドリフト	サーバー時刻の同期を確認
重複イベント	べき等性がない	イベント ID トラッキングを実装
ハンドラータイムアウト	処理が遅い	非同期キューを使用

例

ローカルでのウェブフックテスト

# Use ngrok to expose local server
ngrok http 3000

# Send test webhook
curl -X POST https://your-ngrok-url/webhooks/vastai \
  -H "Content-Type: application/json" \
  -d '{"type": "test", "data": {}}'

リソース

• Vast.ai ウェブフックガイド
• ウェブフックセキュリティのベストプラクティス

次のステップ

パフォーマンス最適化については、vastai-performance-tuning を参照してください。