Création d'une demande AWS d'API signée

• HTTPMethod— La méthode HTTP, telle que GETPUT,HEAD, etDELETE.

• CanonicalUri— Version codée en URI de l'URI du composant du chemin absolu, en commençant par / celui qui suit le nom de domaine et jusqu'à la fin de la chaîne ou jusqu'au point d'interrogation (?) si vous avez des paramètres de chaîne de requête. Si le chemin d’accès absolu est vide, utilisez un caractère barre oblique (/). L’URI de l’exemple suivant, /amzn-s3-demo-bucket/myphoto.jpg, est le chemin absolu et vous n’encodez pas la / dans le chemin absolu :

  http://s3.amazonaws.com/amzn-s3-demo-bucket/myphoto.jpg

• CanonicalQueryString— Les paramètres de chaîne de requête codés en URI. Vous encodez individuellement chaque nom et chaque valeur par URI. Vous devez également trier les paramètres de la chaîne de requête canonique par ordre alphabétique par nom de clé. Le tri s'effectue après l'encodage. La chaîne de requête dans l'exemple d'URI suivant est la suivante :

  http://s3.amazonaws.com/amzn-s3-demo-bucket?prefix=somePrefix&marker=someMarker&max-keys=2

  La chaîne de requête canonique est la suivante (des sauts de ligne sont ajoutés à cet exemple pour faciliter la lecture) :

  UriEncode("marker")+"="+UriEncode("someMarker")+"&"+
  UriEncode("max-keys")+"="+UriEncode("20") + "&" +
  UriEncode("prefix")+"="+UriEncode("somePrefix")

  Lorsqu’une requête cible une sous-ressource, la valeur du paramètre de requête correspondant est une chaîne vide (""). Par exemple, l'URI suivant identifie la sous-ressource ACL sur le compartiment amzn-s3-demo-bucket :

  http://s3.amazonaws.com/amzn-s3-demo-bucket?acl

  Dans ce cas, il s' CanonicalQueryString agirait de :

  UriEncode("acl") + "=" + ""

  Si l’URI ne contient pas de ?, la requête ne contient aucune chaîne de requête et vous définissez la chaîne de requête canonique sur une chaîne vide (""). Vous devrez tout de même inclure le caractère de saut de ligne ("\n").

• CanonicalHeaders— Liste des en-têtes de requêtes avec leurs valeurs. Les paires de nom et de valeur d’en-tête individuelles sont séparées par le caractère de saut de ligne ("\n"). Voici un exemple de CanonicalHeader :

  Lowercase(<HeaderName1>)+":"+Trim(<value>)+"\n"
  Lowercase(<HeaderName2>)+":"+Trim(<value>)+"\n"
  ...
  Lowercase(<HeaderNameN>)+":"+Trim(<value>)+"\n"

  CanonicalHeaders la liste doit inclure les éléments suivants :

  • En-tête host HTTP.

  • Si l'Content-Typeen-tête est présent dans la demande, vous devez l'ajouter à la CanonicalHeaders liste.

  • Les en-têtes x-amz-* que vous prévoyez d'inclure dans votre demande doivent également être ajoutés. Par exemple, si vous utilisez des informations d'identification de sécurité temporaires, vous devez inclure x-amz-security-token dans votre demande. Vous devez ajouter cet en-tête dans la liste desCanonicalHeaders.

  • Pour Sigv4a, vous devez inclure un en-tête d'ensemble de régions qui indique l'ensemble de régions dans lesquelles la demande sera valide. L'en-tête X-Amz-Region-Set est spécifié sous la forme d'une liste de valeurs séparées par des virgules. L'exemple suivant montre un en-tête de région qui permet d'effectuer une demande à la fois dans les régions us-east-1 et us-west-1.

    X-Amz-Region-Set=us-east-1,us-west-1

    Vous pouvez utiliser des caractères génériques (*) dans les régions pour spécifier plusieurs régions. Dans l'exemple suivant, l'en-tête permet de faire une demande à la fois dans us-west-1 et us-west-2.

    X-Amz-Region-Set=us-west-*

  Note

  L’en-tête x-amz-content-sha256 est obligatoire pour les requêtes AWS Amazon S3. Il fournit un hachage de la charge utile de la requête. S'il n'y a pas de charge utile, vous devez fournir le hachage d'une chaîne vide.

  Chaque nom d'en-tête doit :

  • utiliser des caractères minuscules ;

  • apparaître par ordre alphabétique ;

  • être suivi de deux points (:).

  Pour les valeurs, vous devez :

  • supprimer toutes les espaces de début ou de fin ;

  • convertir des espaces séquentielles en une espace unique ;

  • séparez les valeurs d'un en-tête à valeurs multiples par des virgules.

  • Vous devez inclure l'en-tête hôte (HTTP/1.1) ou l'en-tête :authority (HTTP/2), ainsi que tout en-tête x-amz-* dans la signature. Vous pouvez éventuellement inclure d'autres en-têtes standard dans la signature, tels que content-type.

  Les fonctions Lowercase() et Trim() utilisées dans cet exemple sont décrites dans la section précédente.

  L'exemple suivant est une chaîne CanonicalHeaders. Les noms d'en-tête sont en minuscules et sont triés.

  host:s3.amazonaws.com
  x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
  x-amz-date:20130708T220855Z

  Note

  Pour calculer une signature d'autorisation, seuls l'hôte et les x-amz-* en-têtes éventuels sont nécessaires ; toutefois, afin d'éviter toute altération des données, vous devez envisager d'inclure des en-têtes supplémentaires dans le calcul de la signature.

  N'incluez pas hop-by-hop les en-têtes fréquemment modifiés lors du transit dans un système complexe. Cela inclut tous les en-têtes de transport volatils qui sont mutés par les proxys, les équilibreurs de charge et les nœuds d'un système distribué, y comprisconnection,x-amzn-trace-id,user-agent,keep-alive,transfer-encoding, TEtrailer, upgrade et. proxy-authorization proxy-authenticate

• SignedHeaders— Une liste triée par ordre alphabétique et séparée par des points-virgules de noms d'en-têtes de demande en minuscules. Les en-têtes de demande de la liste sont les mêmes que ceux que vous avez inclus dans la chaîne CanonicalHeaders. Dans l'exemple précédent, la valeur de SignedHeaders serait la suivante :

  host;x-amz-content-sha256;x-amz-date

• HashedPayload— Chaîne créée à l'aide de la charge utile contenue dans le corps de la requête HTTP comme entrée d'une fonction de hachage. Cette chaîne utilise des caractères hexadécimaux minuscules.

  Hex(SHA256Hash(<payload>>))

  Si la requête ne contient pas de données utiles, vous calculez un hachage de la chaîne vide, comme lorsque vous récupérez un objet à l’aide d’une requête GET, il n’y a rien dans les données utiles.

  Hex(SHA256Hash(""))

  Note

  Pour Amazon S3, incluez la chaîne littérale UNSIGNED-PAYLOAD lors de la création d’une requête canonique, et définissez la même valeur que celle de l’en-tête x-amz-content-sha256 lors de l’envoi de la requête.

  Hex(SHA256Hash("UNSIGNED-PAYLOAD"))

• Algorithm— Algorithme utilisé pour créer le hachage de la demande canonique.

  • SigV4 — AWS4-HMAC-SHA256 À utiliser pour spécifier l'algorithme de HMAC-SHA256 hachage.

  • SigV4a — AWS4-ECDSA-P256-SHA256 À utiliser pour spécifier l'algorithme de ECDSA-P256-SHA-256 hachage.

• RequestDateTime— Date et heure utilisées dans le champ d'application des informations d'identification. Cette valeur est l'heure UTC actuelle au format ISO 8601 (par exemple, 20130524T000000Z).

• CredentialScope— L'étendue des informations d'identification, qui limite la signature résultante à la région et au service spécifiés.

  • SigV4 — Les informations d'identification incluent l'identifiant de votre clé d'accès, la date au YYYYMMDD format, le code de région, le code de service et la chaîne de aws4_request fin, séparés par des barres obliques (/). Le code Région, le code de service et la chaîne de terminaison doivent utiliser des caractères minuscules. La chaîne a le format suivant :YYYYMMDD/region/service/aws4_request.

  • SigV4a — Les informations d'identification incluent le YYYYMMDD format de la date, le nom du service et la chaîne de aws4_request fin, séparés par des barres obliques (/). Notez que l'étendue des informations d'identification n'inclut pas la région car celle-ci est couverte dans un en-tête X-Amz-Region-Set distinct. La chaîne a le format suivant :YYYYMMDD/service/aws4_request.

• HashedCanonicalRequest— Le hachage de la demande canonique, calculé à l'étape précédente.

Entrée obligatoire

• Key— Chaîne contenant votre clé d'accès secrète.

• Date— Chaîne contenant la date utilisée dans le champ d'application des informations d'identification, au format YYYYMMDD.

• Region— Chaîne contenant le code de région (par exemple,us-east-1).

  Pour obtenir la liste des chaînes régionales, consultez la section Points de terminaison régionaux dans les Références générales AWS.

• Service— Chaîne contenant le code du service (par exemple,ec2).

• Chaîne de connexion que vous avez créée à l'étape précédente.