Perhitungan Tanda Tangan untuk Header Otorisasi: Mentransfer Payload dalam Satu Potongan (AWS Versi Tanda Tangan 4)

Saat menggunakan Authorization header untuk mengotentikasi permintaan, nilai header termasuk, antara lain, tanda tangan. Perhitungan tanda tangan bervariasi tergantung pada pilihan yang Anda buat untuk mentransfer payload (Gambaran umum). Bagian ini menjelaskan perhitungan tanda tangan saat Anda memilih untuk mentransfer payload dalam satu potongan. Bagian contoh (lihatContoh: Perhitungan Tanda Tangan) menunjukkan perhitungan tanda tangan dan Authorization header hasil yang dapat Anda gunakan sebagai rangkaian pengujian untuk memverifikasi kode Anda.

Menghitung Tanda Tangan

Untuk menghitung tanda tangan, pertama-tama Anda memerlukan string untuk ditandatangani. Anda kemudian menghitung HMAC-SHA256 hash string untuk ditandatangani dengan menggunakan kunci penandatanganan. Diagram berikut menggambarkan proses, termasuk berbagai komponen string yang Anda buat untuk penandatanganan

Ketika Amazon S3 menerima permintaan yang diautentikasi, ia menghitung tanda tangan dan kemudian membandingkannya dengan tanda tangan yang Anda berikan dalam permintaan. Untuk alasan itu, Anda harus menghitung tanda tangan dengan menggunakan metode yang sama yang digunakan oleh Amazon S3. Proses menempatkan permintaan dalam bentuk yang disepakati untuk penandatanganan disebut kanonikalisasi.

Tabel berikut menjelaskan fungsi yang ditunjukkan dalam diagram. Anda perlu menerapkan kode untuk fungsi-fungsi ini.

public static String UriEncode(CharSequence input, boolean encodeSlash) {
          StringBuilder result = new StringBuilder();
          for (int i = 0; i < input.length(); i++) {
              char ch = input.charAt(i);
              if ((ch >= 'A' && ch <= 'Z') || (ch >= 'a' && ch <= 'z') || (ch >= '0' && ch <= '9') || ch == '_' || ch == '-' || ch == '~' || ch == '.') {
                  result.append(ch);
              } else if (ch == '/') {
                  result.append(encodeSlash ? "%2F" : ch);
              } else {
                  result.append(toHexUTF8(ch));
              }
          }
          return result.toString();
      }

Tugas 1: Buat Permintaan Kanonik

Bagian ini memberikan gambaran umum tentang membuat permintaan kanonik.

Berikut ini adalah format permintaan kanonik yang digunakan Amazon S3 untuk menghitung tanda tangan. Agar tanda tangan cocok, Anda harus membuat permintaan kanonik dalam format ini:

<HTTPMethod>\n
<CanonicalURI>\n
<CanonicalQueryString>\n
<CanonicalHeaders>\n
<SignedHeaders>\n
<HashedPayload>

Di mana:

Tugas 2: Buat String untuk Ditandatangani

Bagian ini memberikan gambaran umum tentang membuat string untuk ditandatangani. Untuk petunjuk langkah demi langkah, lihat Tugas 2: Membuat String untuk Masuk Referensi Umum AWS.

String yang akan ditandatangani adalah gabungan dari string berikut:

"AWS4-HMAC-SHA256" + "\n" +
timeStampISO8601Format + "\n" +
<Scope> + "\n" +
Hex(SHA256Hash(<CanonicalRequest>))

String konstan AWS4-HMAC-SHA256 menentukan algoritma hash yang Anda gunakan, HMAC-SHA256. Ini timeStamp adalah waktu UTC saat ini dalam format ISO 8601 (misalnya,20130524T000000Z).

Scopemengikat tanda tangan yang dihasilkan ke tanggal tertentu Wilayah AWS, sebuah, dan layanan. Dengan demikian, tanda tangan yang dihasilkan hanya akan berfungsi di Wilayah tertentu dan untuk layanan tertentu. Tanda tangan berlaku selama tujuh hari setelah tanggal yang ditentukan.

date.Format(<YYYYMMDD>) + "/" + <region> + "/" + <service> + "/aws4_request"

Untuk Amazon S3, string layanan adalahs3. Untuk daftar region string, lihat Wil ayah dan Titik Akhir di Referensi Umum AWS. Kolom Wilayah dalam tabel ini menyediakan daftar string Wilayah yang valid.

Cakupan berikut membatasi tanda tangan yang dihasilkan ke Wil us-east-1 ayah dan Amazon S3.

20130606/us-east-1/s3/aws4_request

Tugas 3: Hitung Tanda Tangan

Di AWS Tanda Tangan Versi 4, alih-alih menggunakan kunci AWS akses untuk menandatangani permintaan, pertama-tama Anda membuat kunci penandatanganan yang dicakup ke Wilayah dan layanan tertentu.  Untuk informasi selengkapnya tentang penandatanganan kunci, lihatPengantar Permintaan Penandatanganan.

DateKey              = HMAC-SHA256("AWS4"+"<SecretAccessKey>", "<YYYYMMDD>")
DateRegionKey        = HMAC-SHA256(<DateKey>, "<aws-region>")
DateRegionServiceKey = HMAC-SHA256(<DateRegionKey>, "<aws-service>")
SigningKey           = HMAC-SHA256(<DateRegionServiceKey>, "aws4_request")

Untuk daftar string Wilayah, lihat Wil ayah dan Titik Akhir di Referensi Umum AWS.

Menggunakan kunci penandatanganan memungkinkan Anda menyimpan AWS kredensibilitas Anda di satu tempat yang aman. Misalnya, jika Anda memiliki beberapa server yang berkomunikasi dengan Amazon S3, Anda membagikan kunci penandatanganan dengan server tersebut; Anda tidak perlu menyimpan salinan kunci akses rahasia Anda di setiap server. Kunci penandatanganan berlaku hingga tujuh hari. Jadi setiap kali Anda menghitung kunci penandatanganan, Anda perlu membagikan kunci penandatanganan dengan server Anda. Untuk informasi selengkapnya, lihat Permintaan Otentikasi (AWS Versi Tanda Tangan 4).

Tanda tangan terakhir adalah HMAC-SHA256 hash dari string yang akan ditandatangani, menggunakan kunci penandatanganan sebagai kunci.

HMAC-SHA256(SigningKey, StringToSign)

Untuk petunjuk langkah demi langkah tentang membuat tanda tangan, lihat Tugas 3: Membuat Tangan Tangan di Referensi Umum AWS.

Contoh: Perhitungan Tanda Tangan

Anda dapat menggunakan contoh di bagian ini sebagai referensi untuk memeriksa perhitungan tanda tangan dalam kode Anda. Perhitungan yang ditunjukkan dalam contoh menggunakan data berikut:

Contoh: GET Object

Contoh berikut mendapatkan 10 byte pertama dari sebuah objek (test.txt) dariexamplebucket. Untuk informasi selengkapnya tentang tindakan API, lihat GetObject.

GET /test.txt HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
Range: bytes=0-9 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
x-amz-date: 20130524T000000Z 

Karena permintaan GET ini tidak menyediakan konten tubuh apa pun, x-amz-content-sha256 nilainya dapat berupa hash dari badan permintaan kosong atau string literal"UNSIGNED-PAYLOAD". Langkah-langkah berikut menunjukkan perhitungan tanda tangan dan konstruksi Authorization header menggunakan hash dari string kosong.

Contoh: Objek PUT

Contoh permintaan PUT ini membuat objek (test$file.text) diexamplebucket. Contoh tersebut mengasumsikan sebagai berikut:

Untuk informasi tentang tindakan API, lihat PutObject.

PUT test$file.text HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Date: Fri, 24 May 2013 00:00:00 GMT
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-storage-class: REDUCED_REDUNDANCY
x-amz-content-sha256: 44ce7dd67c959e0d3524ffac1771dfbba87d2b6b4b4e99e42034a8b803f8b072

<Payload>

Langkah-langkah berikut menunjukkan perhitungan tanda tangan.

Contoh: GET Bucket Lifecycle

Permintaan GET berikut mengambil konfigurasi siklus hidup. examplebucket Untuk informasi tentang tindakan API, lihat GetBucketLifecycleConfiguration.

GET ?lifecycle HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Karena permintaan tidak menyediakan konten tubuh apa pun, nilai x-amz-content-sha256 header adalah hash dari badan permintaan kosong. Langkah-langkah berikut menunjukkan perhitungan tanda tangan.

Contoh: Dapatkan Bucket (Daftar Objek)

Contoh berikut mengambil daftar objek dari examplebucket bucket. Untuk informasi tentang tindakan API, lihat ListObjects.

GET ?max-keys=2&prefix=J HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Karena permintaan tidak menyediakan badan, nilainya x-amz-content-sha256 adalah hash dari badan permintaan kosong. Langkah-langkah berikut menunjukkan perhitungan tanda tangan.