Calculs de signature pour l'en-tête d'autorisation : transfert de la charge utile en un seul bloc (AWS Signature (version 4)

Lorsque vous utilisez l'Authorizationen-tête pour authentifier des demandes, la valeur de l'en-tête inclut, entre autres, une signature. Les calculs de signature varient en fonction du choix que vous faites pour transférer la charge utile (Vue d’ensemble). Cette section explique les calculs de signature lorsque vous choisissez de transférer la charge utile en un seul bloc. La section d'exemple (voirExemples : calculs de signature) présente les calculs de signature et Authorization les en-têtes qui en résultent, que vous pouvez utiliser comme suite de tests pour vérifier votre code.

Calculer une signature

Pour calculer une signature, vous avez d'abord besoin d'une chaîne à signer. Vous calculez ensuite le HMAC-SHA256 hachage de la chaîne à signer à l'aide d'une clé de signature. Le schéma suivant illustre le processus, y compris les différents composants de la chaîne que vous créez pour la signature

Lorsqu'Amazon S3 reçoit une demande authentifiée, il calcule la signature, puis la compare à la signature que vous avez fournie dans la demande. C'est pourquoi vous devez calculer la signature en utilisant la même méthode que celle utilisée par Amazon S3. Le processus qui consiste à présenter une demande sous une forme convenue pour la signature est appelé canonisation.

Le tableau suivant décrit les fonctions présentées dans le schéma. Vous devez implémenter du code pour ces fonctions.

public static String UriEncode(CharSequence input, boolean encodeSlash) {
          StringBuilder result = new StringBuilder();
          for (int i = 0; i < input.length(); i++) {
              char ch = input.charAt(i);
              if ((ch >= 'A' && ch <= 'Z') || (ch >= 'a' && ch <= 'z') || (ch >= '0' && ch <= '9') || ch == '_' || ch == '-' || ch == '~' || ch == '.') {
                  result.append(ch);
              } else if (ch == '/') {
                  result.append(encodeSlash ? "%2F" : ch);
              } else {
                  result.append(toHexUTF8(ch));
              }
          }
          return result.toString();
      }

Tâche 1 : créer une demande canonique

Cette section fournit une vue d'ensemble de la création d'une demande canonique.

Voici le format de demande canonique qu'Amazon S3 utilise pour calculer une signature. Pour que les signatures soient identiques, vous devez créer une requête canonique au format suivant :

<HTTPMethod>\n
<CanonicalURI>\n
<CanonicalQueryString>\n
<CanonicalHeaders>\n
<SignedHeaders>\n
<HashedPayload>

Où :

Tâche 2 : créer une chaîne de connexion

Cette section fournit une vue d'ensemble de la création d'une chaîne à signer. Pour obtenir des instructions détaillées, voir Tâche 2 : Création d'une chaîne de caractères pour se connecter Références générales AWS.

La chaîne à signer est une concaténation des chaînes suivantes :

"AWS4-HMAC-SHA256" + "\n" +
timeStampISO8601Format + "\n" +
<Scope> + "\n" +
Hex(SHA256Hash(<CanonicalRequest>))

La chaîne constante AWS4-HMAC-SHA256 spécifie l'algorithme de hachage que vous utilisez, HMAC-SHA256. timeStampIl s'agit de l'heure UTC actuelle au format ISO 8601 (par exemple,20130524T000000Z).

Scopelie la signature obtenue à une date Région AWS, un et un service spécifiques. Ainsi, la signature qui en résultera ne fonctionnera que dans la région et pour un service spécifique. La signature est valide pendant sept jours après la date spécifiée.

date.Format(<YYYYMMDD>) + "/" + <region> + "/" + <service> + "/aws4_request"

Pour Amazon S3, la chaîne de service ests3. Pour une liste de region chaînes, voir Régions et points de terminaison dans le Références générales AWS. La colonne Région de ce tableau fournit la liste des chaînes de région valides.

La portée suivante limite la signature résultante à la us-east-1 région et à Amazon S3.

20130606/us-east-1/s3/aws4_request

Tâche 3 : Calculer la signature

Dans la version 4 de AWS Signature, au lieu d'utiliser vos clés d' AWS accès pour signer une demande, vous créez d'abord une clé de signature limitée à une région et à un service spécifiques.  Pour plus d'informations sur les clés de signature, consultezPrésentation des demandes de signature.

DateKey              = HMAC-SHA256("AWS4"+"<SecretAccessKey>", "<YYYYMMDD>")
DateRegionKey        = HMAC-SHA256(<DateKey>, "<aws-region>")
DateRegionServiceKey = HMAC-SHA256(<DateRegionKey>, "<aws-service>")
SigningKey           = HMAC-SHA256(<DateRegionServiceKey>, "aws4_request")

Pour une liste des chaînes de régions, voir Régions et points de terminaison dans le Références générales AWS.

L'utilisation d'une clé de signature vous permet de conserver vos AWS informations d'identification en un seul endroit sûr. Par exemple, si plusieurs serveurs communiquent avec Amazon S3, vous partagez la clé de signature avec ces serveurs ; vous n'êtes pas obligé de conserver une copie de votre clé d'accès secrète sur chaque serveur. La clé de signature est valide pendant sept jours au maximum. Ainsi, chaque fois que vous calculez la clé de signature, vous devrez partager la clé de signature avec vos serveurs. Pour de plus amples informations, veuillez consulter Demandes d'authentification (AWS Signature (version 4).

La signature finale est le HMAC-SHA256 hachage de la chaîne à signer, en utilisant la clé de signature comme clé.

HMAC-SHA256(SigningKey, StringToSign)

Pour obtenir des instructions détaillées sur la création d'une signature, voir Tâche 3 : Créer une signature dans le Références générales AWS.

Exemples : calculs de signature

Vous pouvez utiliser les exemples de cette section comme référence pour vérifier les calculs de signature dans votre code. Les calculs présentés dans les exemples utilisent les données suivantes :

Exemple : objet GET

L'exemple suivant extrait les 10 premiers octets d'un objet (test.txt) depuisexamplebucket. Pour plus d'informations sur l'action d'API, consultez GetObject.

GET /test.txt HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
Range: bytes=0-9 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
x-amz-date: 20130524T000000Z 

Comme cette requête GET ne fournit aucun contenu de corps, la x-amz-content-sha256 valeur peut être soit le hachage du corps de requête vide, soit la chaîne "UNSIGNED-PAYLOAD" littérale. Les étapes suivantes montrent les calculs de signature et la construction de l'Authorizationen-tête à l'aide du hachage d'une chaîne vide.

Exemple : objet PUT

Cet exemple de requête PUT crée un objet (test$file.text) dansexamplebucket. Dans cet exemple il est supposé que :

Pour plus d'informations sur l'action d'API, consultez PutObject.

PUT test$file.text HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Date: Fri, 24 May 2013 00:00:00 GMT
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-storage-class: REDUCED_REDUNDANCY
x-amz-content-sha256: 44ce7dd67c959e0d3524ffac1771dfbba87d2b6b4b4e99e42034a8b803f8b072

<Payload>

Les étapes suivantes présentent les calculs de signature.

Exemple : GET Bucket Lifecycle

La requête GET suivante récupère la configuration du cycle de vie de. examplebucket Pour plus d'informations sur l'action d'API, consultez GetBucketLifecycleConfiguration.

GET ?lifecycle HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Étant donné que la demande ne fournit aucun contenu de corps, la valeur x-amz-content-sha256 d'en-tête est le hachage du corps de demande vide. Les étapes suivantes présentent les calculs de signature.

Exemple : Get Bucket (List Objects)

L'exemple suivant récupère une liste d'objets à partir d'un examplebucket bucket. Pour plus d'informations sur l'action d'API, consultez ListObjects.

GET ?max-keys=2&prefix=J HTTP/1.1
Host: examplebucket.s3.amazonaws.com
Authorization: SignatureToBeCalculated
x-amz-date: 20130524T000000Z 
x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Étant donné que la demande ne fournit pas de corps, la valeur de x-amz-content-sha256 est le hachage du corps de demande vide. Les étapes suivantes présentent les calculs de signature.