Signaturberechnungen für den Autorisierungs-Header: Übertragung der Nutzlast in einem einzigen Block (AWS Signatur (Version 4)

Wenn Sie den Authorization Header zur Authentifizierung von Anfragen verwenden, enthält der Header-Wert unter anderem eine Signatur. Die Signaturberechnungen variieren je nachdem, welche Wahl Sie für die Übertragung der Nutzlast () -Übersicht treffen. In diesem Abschnitt werden Signaturberechnungen erläutert, wenn Sie sich dafür entscheiden, die Nutzlast in einem einzigen Block zu übertragen. Der Beispielabschnitt (sieheBeispiele: Signaturberechnungen) zeigt Signaturberechnungen und daraus resultierende Authorization Header, die Sie als Testsuite zur Überprüfung Ihres Codes verwenden können.

Berechnung einer Signatur

Um eine Signatur zu berechnen, benötigen Sie zunächst eine zu signierende Zeichenfolge. Anschließend berechnen Sie mithilfe eines Signaturschlüssels einen HMAC-SHA256 Hash der zu signierenden Zeichenfolge. Das folgende Diagramm veranschaulicht den Vorgang, einschließlich der verschiedenen Komponenten der Zeichenfolge, die Sie zum Signieren erstellen

Wenn Amazon S3 eine authentifizierte Anfrage erhält, berechnet es die Signatur und vergleicht sie dann mit der Signatur, die Sie in der Anfrage angegeben haben. Aus diesem Grund müssen Sie die Signatur mit derselben Methode berechnen, die von Amazon S3 verwendet wird. Der Vorgang, bei dem eine Anfrage zur Unterzeichnung in einer vereinbarten Form gestellt wird, wird als Kanonisierung bezeichnet.

In der folgenden Tabelle werden die im Diagramm dargestellten Funktionen beschrieben. Für diese Funktionen muss Code implementiert werden.

public static String UriEncode(CharSequence input, boolean encodeSlash) {
          StringBuilder result = new StringBuilder();
          for (int i = 0; i < input.length(); i++) {
              char ch = input.charAt(i);
              if ((ch >= 'A' && ch <= 'Z') || (ch >= 'a' && ch <= 'z') || (ch >= '0' && ch <= '9') || ch == '_' || ch == '-' || ch == '~' || ch == '.') {
                  result.append(ch);
              } else if (ch == '/') {
                  result.append(encodeSlash ? "%2F" : ch);
              } else {
                  result.append(toHexUTF8(ch));
              }
          }
          return result.toString();
      }

Aufgabe 1: Erstellen einer kanonischen Anforderung

Dieser Abschnitt bietet einen Überblick über das Erstellen einer kanonischen Anfrage.

Im Folgenden finden Sie das kanonische Anforderungsformat, das Amazon S3 zur Berechnung einer Signatur verwendet. Damit die Signaturen übereinstimmen, müssen Sie eine kanonische Anfrage in diesem Format erstellen:

<HTTPMethod>\n
<CanonicalURI>\n
<CanonicalQueryString>\n
<CanonicalHeaders>\n
<SignedHeaders>\n
<HashedPayload>

Wobei Folgendes gilt:

Aufgabe 2: Erstellen einer zu signierenden Zeichenfolge

Dieser Abschnitt bietet einen Überblick über das Erstellen einer Zeichenfolge zum Signieren. Eine schrittweise Anleitung finden Sie unter Aufgabe 2: Erstellen Sie eine Zeichenfolge zum Signieren in Allgemeine AWS-Referenz.

Die zu signierende Zeichenfolge ist eine Verkettung der folgenden Zeichenfolgen:

"AWS4-HMAC-SHA256" + "\n" +
timeStampISO8601Format + "\n" +
<Scope> + "\n" +
Hex(SHA256Hash(<CanonicalRequest>))

Die konstante Zeichenfolge AWS4-HMAC-SHA256 gibt den Hash-Algorithmus an, den Sie verwenden,. HMAC-SHA256 Das timeStamp ist die aktuelle UTC-Zeit im ISO 8601-Format (z. B.20130524T000000Z).

Scopebindet die resultierende Signatur an ein bestimmtes Datum AWS-Region, an und einen Dienst. Daher funktioniert Ihre resultierende Signatur nur in der bestimmten Region und für einen bestimmten Dienst. Die Signatur ist nach dem angegebenen Datum sieben Tage lang gültig.

date.Format(<YYYYMMDD>) + "/" + <region> + "/" + <service> + "/aws4_request"

Für Amazon S3 lautet die Servicezeichenfolges3. Eine Liste der region Zeichenfolgen finden Sie unter Regionen und Endpunkte im Allgemeine AWS-Referenz. Die Spalte Region in dieser Tabelle enthält die Liste der gültigen Region-Zeichenfolgen.

Der folgende Bereich beschränkt die resultierende Signatur auf die us-east-1 Region und Amazon S3.

20130606/us-east-1/s3/aws4_request

Aufgabe 3: Signatur berechnen

In AWS Signature Version 4 verwenden Sie Ihre AWS Zugangsschlüssel nicht zum Signieren einer Anfrage, sondern erstellen zunächst einen Signaturschlüssel, der auf eine bestimmte Region und einen bestimmten Dienst beschränkt ist.  Weitere Informationen zum Signieren von Schlüsseln finden Sie unter. Einführung in das Signieren von Anfragen

DateKey              = HMAC-SHA256("AWS4"+"<SecretAccessKey>", "<YYYYMMDD>")
DateRegionKey        = HMAC-SHA256(<DateKey>, "<aws-region>")
DateRegionServiceKey = HMAC-SHA256(<DateRegionKey>, "<aws-service>")
SigningKey           = HMAC-SHA256(<DateRegionServiceKey>, "aws4_request")

Eine Liste der Region-Zeichenfolgen finden Sie unter Regionen und Endpunkte im Allgemeine AWS-Referenz.

Wenn Sie einen Signaturschlüssel verwenden, können Sie Ihre AWS Anmeldeinformationen an einem sicheren Ort aufbewahren. Wenn Sie beispielsweise mehrere Server haben, die mit Amazon S3 kommunizieren, teilen Sie den Signaturschlüssel mit diesen Servern; Sie müssen nicht auf jedem Server eine Kopie Ihres geheimen Zugriffsschlüssels aufbewahren. Der Signaturschlüssel ist bis zu sieben Tage gültig. Jedes Mal, wenn Sie den Signaturschlüssel berechnen, müssen Sie den Signaturschlüssel also mit Ihren Servern teilen. Weitere Informationen finden Sie unter Anfragen authentifizieren (AWS Signatur (Version 4).

Die endgültige Signatur ist der HMAC-SHA256 Hash der zu signierenden Zeichenfolge, wobei der Signaturschlüssel als Schlüssel verwendet wird.

HMAC-SHA256(SigningKey, StringToSign)

Eine schrittweise Anleitung zum Erstellen einer Signatur finden Sie unter Aufgabe 3: Eine Signatur erstellen im Allgemeine AWS-Referenz.

Beispiele: Signaturberechnungen

Sie können die Beispiele in diesem Abschnitt als Referenz verwenden, um die Signaturberechnungen in Ihrem Code zu überprüfen. Die in den Beispielen gezeigten Berechnungen verwenden die folgenden Daten:

Beispiel: GET-Objekt

Im folgenden Beispiel werden die ersten 10 Byte eines Objekts (test.txt) abgerufenexamplebucket. Weitere Hinweise zur API-Aktion finden Sie unter GetObject.

GET /test.txt HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
Range: bytes=0-9 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
x-amz-date: 20130524T000000Z 

Da diese GET-Anfrage keinen Textinhalt bereitstellt, kann der x-amz-content-sha256 Wert entweder der Hash des leeren Anforderungstextes oder die Literalzeichenfolge "UNSIGNED-PAYLOAD" sein. Die folgenden Schritte zeigen Signaturberechnungen und die Konstruktion des Authorization Headers unter Verwendung des Hashs einer leeren Zeichenfolge.

Beispiel: PUT-Objekt

Diese Beispiel-PUT-Anfrage erstellt ein Objekt (test$file.text) inexamplebucket. In diesem Beispiel wird Folgendes angenommen:

Hinweise zur API-Aktion finden Sie unter PutObject.

PUT test$file.text HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Date: Fri, 24 May 2013 00:00:00 GMT
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-storage-class: REDUCED_REDUNDANCY
x-amz-content-sha256: 44ce7dd67c959e0d3524ffac1771dfbba87d2b6b4b4e99e42034a8b803f8b072

<Payload>

Die folgenden Schritte zeigen Signaturberechnungen.

Beispiel: GET Bucket Lifecycle

Die folgende GET-Anforderung ruft die Lebenszykluskonfiguration von examplebucket ab. Hinweise zur API-Aktion finden Sie unter GetBucketLifecycleConfiguration.

GET ?lifecycle HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Da die Anfrage keinen Textinhalt bereitstellt, ist der x-amz-content-sha256 Header-Wert der Hash des leeren Anforderungstextes. Die folgenden Schritte zeigen Signaturberechnungen.

Beispiel: Bucket abrufen (Objekte auflisten)

Das folgende Beispiel ruft eine Liste von Objekten aus dem examplebucket Bucket ab. Hinweise zur API-Aktion finden Sie unter ListObjects.

GET ?max-keys=2&prefix=J HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Da die Anfrage keinen Hauptteil bereitstellt, x-amz-content-sha256 ist der Wert von der Hash des leeren Anforderungstextes. Die folgenden Schritte zeigen Signaturberechnungen.