Option 1 : vérifier le document d’identité de l’instance à l’aide de la signature PKCS7 Option 2 : vérifier le document d’identité de l’instance à l’aide de la signature codée en base64 Option 3 : vérifier le document d’identité de l’instance à l’aide de la signature RSA-2048

Vérifier le document d’identité d’une instance Amazon EC2

Si vous avez l’intention d’utiliser le contenu du Documents d’identité d’instance à des fins importantes, vous devez vérifier son contenu et son authenticité avant de l’utiliser.

Le Documents d’identité d’instance en texte brut est accompagné de trois signatures hachées et chiffrées. Vous pouvez utiliser ces signatures pour vérifier l’origine et l’authenticité du Documents d’identité d’instance et les informations qu’il contient. Les signatures suivantes sont fournies :

Signature codée en base64 — Il s’agit d’un hachage SHA256 codé en base64 du Documents d’identité d’instance qui est chiffré à l’aide d’une paire de clés RSA.
Signature PKCS7 — Il s’agit d’un hachage SHA1 du Documents d’identité d’instance qui est chiffré à l’aide d’une paire de clés DSA.
Signature RSA-2048 — Il s’agit d’un hachage SHA256 du Documents d’identité d’instance qui est chiffré à l’aide d’une paire de clés RSA-2048.

Chaque signature est disponible à un point de terminaison différent dans les métadonnées de l’instance. Vous pouvez utiliser l’une de ces signatures en fonction de vos exigences de hachage et de chiffrement. Pour vérifier les signatures, vous devez utiliser le certificat AWS public correspondant.

Options

Option 1 : vérifier le document d’identité de l’instance à l’aide de la signature PKCS7

Cette rubrique explique comment vérifier le document d’identité d’instance avec la signature PKCS7 et le certificat public DSA AWS.

Pour vérifier le document d’identité d’instance avec la signature PKCS7 et le certificat public DSA AWS

Connectez-vous à l’instance.

Récupérez la signature PKCS7 à partir des métadonnées de l’instance et ajoutez-la, ainsi que l’en-tête et le pied de page requis, à un fichier nommé pkcs7. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public DSA pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.
Utilisez la commande OpenSSL smime pour vérifier la signature. Incluez l’option -verify indiquant que la signature doit être vérifiée et l’option -noverify indiquant que le certificat n’a pas besoin d’être vérifié.
```
$ openssl smime -verify -in pkcs7 -inform PEM -certfile certificate -noverify | tee document
```
Si la signature est valide, le message Verification successful s’affiche.

La commande écrit également le contenu du document d’identité d’instance dans un nouveau fichier nommé document. Vous pouvez comparer le contenu du document d’identité d’instance provenant des métadonnées d’instance avec le contenu de ce fichier à l’aide des commandes suivantes.
```
$ openssl dgst -sha256 < document
```
```
$ curl -s -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/dynamic/instance-identity/document | openssl dgst -sha256
```
Si la signature ne peut pas être vérifiée, contactez Support.

Prérequis

Cette procédure nécessite la classe System.Security Microsoft .NET Core. Pour ajouter la classe à votre séance PowerShell, exécutez la commande suivante.


PS C:\> Add-Type -AssemblyName System.Security

Note

La commande ajoute la classe à la séance PowerShell actuelle uniquement. Si vous démarrez une nouvelle séance, vous devez exécuter à nouveau la commande.

Pour vérifier le document d’identité d’instance avec la signature PKCS7 et le certificat public DSA AWS

Connectez-vous à l’instance.

Récupérez la signature PKCS7 à partir des métadonnées de l’instance, convertissez-la en un tableau d’octets et ajoutez-la à une variable nommée $Signature. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Récupérez le document d’identité d’instance en texte brut à partir des métadonnées d’instance, convertissez-le en un tableau d’octets et ajoutez-le à une variable nommée $Document. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public DSA pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.pem.

Extrayez le certificat du fichier de certificat et stockez-le dans une variable nommée $Store.


PS C:\> $Store = [Security.Cryptography.X509Certificates.X509Certificate2Collection]::new([Security.Cryptography.X509Certificates.X509Certificate2]::new((Resolve-Path certificate.pem)))

Vérifiez la signature.
```
PS C:\> $SignatureDocument = [Security.Cryptography.Pkcs.SignedCms]::new()
```
```
PS C:\> $SignatureDocument.Decode($Signature)
```
```
PS C:\> $SignatureDocument.CheckSignature($Store, $true)
```
Si la signature est valide, la commande ne renvoie aucune sortie. Si la signature ne peut pas être vérifiée, la commande renvoie Exception calling "CheckSignature" with "2" argument(s): "Cannot find the original signer. Si votre signature ne peut pas être vérifiée, contactez AWS Support.
Validez le contenu du document d’identité d’instance.
```
PS C:\> [Linq.Enumerable]::SequenceEqual($SignatureDocument.ContentInfo.Content, $Document)
```
Si le contenu du document d’identité d’instance est valide, la commande renvoie True. Si le document d’identité de l’instance ne peut pas être validé, contactez AWS Support.

Option 2 : vérifier le document d’identité de l’instance à l’aide de la signature codée en base64

Cette rubrique explique comment vérifier le document d’identité d’instance avec la signature codée en base64 et le certificat public RSA AWS.

Pour valider le document d’identité d’instance avec la signature codée en base64 et le certificat public RSA AWS

Connectez-vous à l’instance.

Récupérez la signature codée en base64 à partir des métadonnées d’instance, convertissez-la en binaire et ajoutez-la à un fichier nommé signature. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Récupérez le Documents d’identité d’instance en texte brut à partir des métadonnées de l’instance et ajoutez-le à un fichier nommé document. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public RSA pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.
Extrayez la clé publique du certificat public RSA AWS et enregistrez-la dans un fichier nommé key.
```
$ openssl x509 -pubkey -noout -in certificate >> key
```
Utilisez la commande OpenSSL dgst pour vérifier le Documents d’identité d’instance.
```
$ openssl dgst -sha256 -verify key -signature signature document
```
Si la signature est valide, le message Verification successful s'affiche.

La commande écrit également le contenu du document d’identité d’instance dans un nouveau fichier nommé document. Vous pouvez comparer le contenu du document d’identité d’instance provenant des métadonnées d’instance avec le contenu de ce fichier à l’aide des commandes suivantes.
```
$ openssl dgst -sha256 < document
```
```
$ curl -s -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/dynamic/instance-identity/document | openssl dgst -sha256
```
Si la signature ne peut pas être vérifiée, contactez Support.

Pour valider le document d’identité d’instance avec la signature codée en base64 et le certificat public RSA AWS

Connectez-vous à l’instance.

Récupérez la signature codée en base64 à partir des métadonnées d’instance, convertissez-la en un tableau d’octets et ajoutez-la à la variable nommée $Signature. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public RSA pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.pem.
Vérifier le document d’identité d’instance
```
PS C:\> [Security.Cryptography.X509Certificates.X509Certificate2]::new((Resolve-Path certificate.pem)).PublicKey.Key.VerifyData($Document, 'SHA256', $Signature)
```
Si la signature est valide, la commande renvoie True. Si la signature ne peut pas être vérifiée, contactez Support.

Option 3 : vérifier le document d’identité de l’instance à l’aide de la signature RSA-2048

Cette rubrique explique comment vérifier le document d’identité d’instance avec la signature RSA-2048 et le certificat public RSA-2048 AWS.

Pour vérifier le document d’identité d’instance avec la signature RSA-2048 et le certificat public RSA-2048 AWS

Connectez-vous à l’instance.

Récupérez la signature RSA-2048 à partir des métadonnées de l’instance et ajoutez-la, ainsi que l’en-tête et le pied de page requis, à un fichier nommé rsa2048. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public RSA-2048 pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.
Utilisez la commande OpenSSL smime pour vérifier la signature. Incluez l’option -verify indiquant que la signature doit être vérifiée et l’option -noverify indiquant que le certificat n’a pas besoin d’être vérifié.
```
$ openssl smime -verify -in rsa2048 -inform PEM -certfile certificate -noverify | tee document
```
Si la signature est valide, le message Verification successful s’affiche. Si la signature ne peut pas être vérifiée, contactez Support.

Prérequis

Cette procédure nécessite la classe System.Security Microsoft .NET Core. Pour ajouter la classe à votre séance PowerShell, exécutez la commande suivante.


PS C:\> Add-Type -AssemblyName System.Security

Note

La commande ajoute la classe à la séance PowerShell actuelle uniquement. Si vous démarrez une nouvelle séance, vous devez exécuter à nouveau la commande.

Pour vérifier le document d’identité d’instance avec la signature RSA-2048 et le certificat public RSA-2048 AWS

Connectez-vous à l’instance.

Récupérez la signature RSA-2048 à partir des métadonnées d’instance, convertissez-la en un tableau d’octets et ajoutez-la à une variable nommée $Signature. Utilisez l’une des commandes suivantes en fonction de la version IMDS utilisée par l’instance.

Trouvez le certificat public RSA-2048 pour votre région dans Certificats publics AWS pour les signatures de documents d’identité et ajoutez le contenu à un nouveau fichier nommé certificate.pem.

Extrayez le certificat du fichier de certificat et stockez-le dans une variable nommée $Store.


PS C:\> $Store = [Security.Cryptography.X509Certificates.X509Certificate2Collection]::new([Security.Cryptography.X509Certificates.X509Certificate2]::new((Resolve-Path certificate.pem)))

Vérifiez la signature.
```
PS C:\> $SignatureDocument = [Security.Cryptography.Pkcs.SignedCms]::new()
```
```
PS C:\> $SignatureDocument.Decode($Signature)
```
```
PS C:\> $SignatureDocument.CheckSignature($Store, $true)
```
Si la signature est valide, la commande ne renvoie aucune sortie. Si la signature ne peut pas être vérifiée, la commande renvoie Exception calling "CheckSignature" with "2" argument(s): "Cannot find the original signer. Si votre signature ne peut pas être vérifiée, contactez AWS Support.
Validez le contenu du document d’identité d’instance.
```
PS C:\> [Linq.Enumerable]::SequenceEqual($SignatureDocument.ContentInfo.Content, $Document)
```
Si le contenu du document d’identité d’instance est valide, la commande renvoie True. Si le document d’identité de l’instance ne peut pas être validé, contactez AWS Support.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Récupérer le document d’identité de l’instance

Certificats publics