Authentifizierungsmethoden
Wichtig
Sofern Sie nicht die AWS-SDKs oder die CLI verwenden, müssen Sie Code schreiben, um Signaturen zu berechnen, die Authentifizierungsinformationen in Ihren Anfragen bereitstellen. Die Signaturberechnung in AWS-Signatur Version 4 kann ein komplexes Unterfangen sein, und es empfiehlt sich, wann immer möglich die AWS-SDKs oder CLI zu verwenden.
Mit einer der folgenden Methoden können Sie Authentifizierungsinformationen ausdrücken.
HTTP-Autorisierungs-Header
Der HTTP-Authorization-Header ist die gängigste Methode zur Authentifizierung einer Anfrage. Alle REST-API-Vorgänge (außer browserbasierte Uploads mit POST-Anfragen) erfordern diesen Header. Weitere Informationen zum Wert des Autorisierungs-Headers und zur Berechnung der Signatur und zugehöriger Optionen finden Sie unter Authentifizieren von Anforderungen: Verwenden des Autorisierungsheaders (AWS-Signatur Version 4) in der Amazon-S3-API-Referenz.
Nachfolgend finden Sie ein Beispiel für den Authorization-Header-Wert. Zur besseren Lesbarkeit werden diesem Beispiel Zeilenumbrüche hinzugefügt. In Ihrem Code muss der Header eine fortlaufende Zeichenfolge sein. Zwischen dem Algorithmus und den Anmeldeinformationen steht kein Komma, die anderen Elemente müssen jedoch durch Kommas getrennt werden.
Authorization: AWS4-HMAC-SHA256 Credential=AKIAIOSFODNN7EXAMPLE/20130524/us-east-1/s3/aws4_request, SignedHeaders=host;range;x-amz-date, Signature=fe5f80f77d5fa3beca038a248ff027d0445342fe2855ddc963176630326f1024
Die folgende Tabelle beschreibt die verschiedenen Komponenten des Werts des Autorisierungs-Headers aus dem vorangegangenen Beispiel:
| Komponente | Beschreibung |
|---|---|
|
Autorisierung |
Der Algorithmus, der zur Berechnung der Signatur verwendet wurde. Sie müssen diesen Wert angeben, wenn Sie AWS Signatur Version 4 zur Authentifizierung verwenden. Die Zeichenfolge gibt AWS Signatur Version 4 ( |
|
Credential |
Ihre Zugriffsschlüssel-ID und die Informationen des Gültigkeitsbereichs, darunter Datum, Region und Service, die zur Berechnung der Signatur verwendet wurden. Diese Zeichenfolge verfügt über das folgende Format:
Dabei gilt: Der |
|
SignedHeaders |
Eine durch Semikolons getrennte Liste von Anforderungs-Headern, die Sie zur Berechnung von |
|
Signatur |
Die 256-Bit-Signatur, ausgedrückt als 64 hexadezimale Kleinbuchstaben. Beispiel: Beachten Sie, dass die Signaturberechnungen je nach gewählter Option zur Übertragung der Nutzlast variieren. |
Parameter der Abfragezeichenfolge
Sie können eine Abfragezeichenfolge verwenden, um eine Anfrage vollständig in einer URL auszudrücken. In diesem Fall verwenden Sie Abfrageparameter, um Anforderungsinformationen bereitzustellen, einschließlich der Authentifizierungsinformationen. Da die Anforderungssignatur Teil der URL ist, wird diese Art von URL oft als vorsignierte URL bezeichnet. Sie können vorsignierte URLs verwenden, um anklickbare Links in HTML einzubetten, die bis zu sieben Tage gültig sein können. Weitere Informationen finden Sie unter Authentifizieren von Anforderungen: Verwenden von Abfrageparametern (AWS-Signatur Version 4) in der Amazon-S3-API-Referenz.
Im Folgenden finden Sie ein Beispiel für eine vorsignierte URL. Zur besseren Lesbarkeit werden diesem Beispiel Zeilenumbrüche hinzugefügt:
https://s3.amazonaws.com/amzn-s3-demo-bucket/test.txt ? X-Amz-Algorithm=AWS4-HMAC-SHA256 & X-Amz-Credential=<your-access-key-id>/20130721/us-east-1/s3/aws4_request & X-Amz-Date=20130721T201207Z & X-Amz-Expires=86400 & X-Amz-SignedHeaders=host &X-Amz-Signature=<signature-value>
Anmerkung
Der X-Amz-Credential-Wert in der URL zeigt das Zeichen „/“ nur zur besseren Lesbarkeit an. In der Praxis sollte es als %2F codiert werden. Beispielsweise:
&X-Amz-Credential=<your-access-key-id>%2F20130721%2Fus-east-1%2Fs3%2Faws4_request
Die folgende Tabelle beschreibt die Abfrageparameter in der URL, die Informationen zur Authentifizierung bereitstellen.
| Abfragezeichenfolgen-Parametername | Beschreibung |
|---|---|
|
X-Amz-Algorithm |
Identifiziert die Version der AWS-Signatur und den Algorithmus, den Sie zur Berechnung der Signatur verwendet haben. Für AWS-Signatur Version 4 legen Sie diesen Parameterwert auf |
|
X-Amz-Credential |
Zusätzlich zu Ihrer Zugriffsschlüssel-ID gibt dieser Parameter auch den Gültigkeitsbereich an (AWS-Region und -Service), für die die Signatur gültig ist. Dieser Wert muss mit dem Gültigkeitsbereich übereinstimmen, den Sie für die Signaturberechnungen verwenden, die im folgenden Abschnitt beschrieben werden. Das allgemeine Format für diesen Parameterwert lautet wie folgt:
Zum Beispiel: Eine Liste der regionalen AWS-Zeichenfolgen finden Sie unter Regionale Endpunkte in der Allgemeinen AWS-Referenz. |
|
X-Amz-Datum |
Das Datums- und Uhrzeitformat muss dem ISO 8601-Standard entsprechen und im |
|
X-Amz-Expires |
Gibt den Zeitraum in Sekunden an, für den die generierte vorsignierte URL gültig ist. Zum Beispiel 86 400 (24 Stunden). Es handelt sich um einen Ganzzahlwert. Der Mindestwert, den Sie festlegen können, ist 1 und der Höchstwert 604 800 (sieben Tage). Eine vorsignierte URL kann maximal sieben Tage gültig sein, da der Signaturschlüssel, den Sie bei der Signaturberechnung verwenden, bis zu sieben Tage gültig ist. |
|
X-Amz-SignedHeaders |
Listet die Header auf, die Sie zur Berechnung der Signatur verwendet haben. Für die Signaturberechnungen sind folgende Header erforderlich:
Für zusätzliche Sicherheit sollten Sie alle Anforderungs-Header signieren, die Sie in Ihre Anfrage aufnehmen möchten. |
|
X-Amz-Signature |
Stellt die Signatur zur Authentifizierung Ihrer Anfrage bereit. Diese Signatur muss mit der vom Service berechneten Signatur übereinstimmen. Andernfalls lehnt der Service die Anfrage ab. Beispiel: Signaturberechnungen werden im folgenden Abschnitt beschrieben. |
|
X-Amz-Security-Token |
Optionaler Parameter für Anmeldeinformationen, wenn Sie Anmeldeinformationen verwenden, die vom STS-Service stammen. |
