Memecahkan masalah Tanda Tangan Versi 4 penandatanganan untuk permintaan AWS API

Saat Anda mengembangkan kode yang membuat permintaan yang ditandatangani, Anda mungkin menerima HTTP 403 SignatureDoesNotMatch dari Layanan AWS. Kesalahan ini berarti bahwa nilai tanda tangan dalam HTTP permintaan Anda AWS tidak cocok dengan tanda tangan yang Layanan AWS dihitung. HTTPUnauthorizedKesalahan 401 kembali ketika izin tidak mengizinkan pemanggil untuk membuat permintaan.

APIpermintaan mungkin mengembalikan kesalahan jika:

Kesalahan kredensi

Pastikan bahwa API permintaan ditandatangani dengan SiGv4. Jika API permintaan tidak ditandatangani, maka Anda mungkin menerima kesalahan:Missing Authentication Token. Tambahkan tanda tangan yang hilang dan kirim ulang permintaan.

Verifikasi bahwa kredensi otentikasi untuk kunci akses dan kunci rahasia sudah benar. Jika kunci akses salah, maka Anda mungkin menerima kesalahan:Unauthorized. Pastikan entitas yang digunakan untuk menandatangani permintaan berwenang untuk membuat permintaan. Untuk detailnya, lihat Memecahkan masalah akses ditolak pesan kesalahan.

Permintaan kanonik dan kesalahan string penandatanganan

Jika Anda salah menghitung permintaan kanonik di Buat hash dari permintaan kanonik atauBuat string untuk ditandatangani, langkah verifikasi tanda tangan yang dilakukan oleh layanan gagal dengan pesan kesalahan:

The request signature we calculated does not match the signature you provided

Ketika AWS layanan menerima permintaan yang ditandatangani, itu menghitung ulang tanda tangan. Jika ada perbedaan nilai, maka tanda tangan tidak cocok. Bandingkan permintaan dan string kanonik dengan permintaan yang ditandatangani dengan nilai dalam pesan kesalahan. Ubah proses penandatanganan jika ada perbedaan.

GET                                                      -------- HTTP method
/                                                        -------- Path. For API stage endpoint, it should be /{stage-name}/{resource-path}
                                                         -------- Query string key-value pair. Leave it blank if the request doesn't have a query string.
content-type:application/json                            -------- Header key-value pair. One header per line.
host:0123456789.execute-api.us-east-1.amazonaws.com      -------- Host and x-amz-date are required headers for all signed requests.                       
x-amz-date:20220806T024003Z                              

content-type;host;x-amz-date                             -------- A list of signed headers
d167e99c53f15b0c105101d468ae35a3dc9187839ca081095e340f3649a04501        -------- Hash of the payload

Untuk memverifikasi bahwa kunci rahasia cocok dengan ID kunci akses, Anda dapat mengujinya dengan implementasi kerja yang diketahui. Misalnya, gunakan AWS SDK atau AWS CLI untuk membuat permintaan AWS.

APIpermintaan header

Ketika header otorisasi kosong, kunci kredensi atau tanda tangan hilang atau salah, header tidak dimulai dengan nama algoritme, atau pasangan nilai kunci tidak menyertakan tanda sama dengan, Anda menerima salah satu kesalahan berikut:

Pastikan bahwa header otorisasi SigV4 yang Anda tambahkan Hitung tanda tangan menyertakan kunci kredensi yang benar, dan juga menyertakan tanggal permintaan menggunakan HTTP Tanggal atau header. x-amz-date

Jika Anda menerima IncompleteSignatureException kesalahan dan konstruksi tanda tangan sudah benar, Anda dapat memverifikasi bahwa header otorisasi tidak dimodifikasi dalam perjalanan ke Layanan AWS dengan menghitung SHA -256 hash dan pengkodean B64 dari header otorisasi dalam permintaan sisi klien Anda.

Kesalahan cakupan kredensi

Cakupan kredensi yang Anda buat Buat string untuk ditandatangani membatasi tanda tangan ke tanggal, Wilayah, dan layanan tertentu. String ini memiliki format berikut:

YYYYMMDD/region/service/aws4_request

Tanggal

Jika cakupan kredensi tidak menentukan tanggal yang sama dengan x-amz-date header, langkah verifikasi tanda tangan gagal dengan pesan kesalahan berikut:

Date in Credential scope does not match YYYYMMDD from ISO-8601 version of date from HTTP

Jika permintaan menentukan waktu di masa mendatang, langkah verifikasi tanda tangan gagal dengan pesan galat berikut:

Signature not yet current: date is still later than date

Jika permintaan telah kedaluwarsa, langkah verifikasi tanda tangan gagal dengan pesan galat berikut:

Signature expired: date is now earlier than date

Wilayah

Jika cakupan kredensi tidak menentukan Wilayah yang sama dengan permintaan, langkah verifikasi tanda tangan gagal dengan pesan galat berikut:

Credential should be scoped to a valid Region, not region-code

Layanan

Jika cakupan kredensi tidak menentukan layanan yang sama dengan host header, langkah verifikasi tanda tangan gagal dengan pesan kesalahan berikut:

Credential should be scoped to correct service: 'service'

String penghentian

Jika cakupan kredensi tidak berakhir dengan aws4_request, langkah verifikasi tanda tangan gagal dengan pesan kesalahan berikut:

Credential should be scoped with a valid terminator: 'aws4_request'

Kesalahan penandatanganan kunci

Kesalahan yang disebabkan oleh derivasi kunci penandatanganan yang salah atau penggunaan kriptografi yang tidak tepat lebih sulit untuk dipecahkan. Setelah Anda memverifikasi bahwa string kanonik dan string yang akan ditandatangani sudah benar, Anda juga dapat memeriksa salah satu masalah berikut:

Untuk memverifikasi bahwa kunci rahasia cocok dengan ID kunci akses, Anda dapat mengujinya dengan implementasi kerja yang diketahui. Misalnya, gunakan AWS SDK atau AWS CLI untuk membuat permintaan AWS. Sebagai contoh, lihat Minta contoh tanda tangan