Bewährte Methoden für API-Schlüssel

Folgen Sie diesen bewährten Methoden, um Ihre API-Schlüssel zu schützen und ihren Lebenszyklus zu verwalten.

API-Schlüssel verwalten

API-Schlüssel enthalten einen Klartextwert, der Zugriff auf eine oder mehrere Ressourcen oder APIs in Ihrem ermöglicht AWS-Konto. Wenn jemand Ihren API-Schlüssel kopiert, kann er auf dieselben Ressourcen und APIs zugreifen. Lesen Sie sich die folgenden bewährten Methoden durch, um die potenziellen Auswirkungen zu minimieren:

• Beschränken Sie den API-Schlüssel

  Um die oben genannte Situation zu vermeiden, ist es am besten, Ihren API-Schlüssel einzuschränken. Wenn Sie den Schlüssel erstellen, können Sie die Domain, Android-App oder Apple-App angeben, in der der Schlüssel verwendet werden kann.

• Gültigkeitsdauer von API-Schlüsseln verwalten

  Sie können API-Schlüssel erstellen, die unbegrenzt funktionieren. Wenn Sie jedoch einen temporären API-Schlüssel erstellen, API-Schlüssel regelmäßig rotieren oder einen vorhandenen API-Schlüssel widerrufen möchten, können Sie den Ablauf des API-Schlüssels verwenden.

  • Sie können die Ablaufzeit für einen API-Schlüssel festlegen, wenn Sie ihn erstellen oder aktualisieren.

  • Wenn ein API-Schlüssel seine Ablaufzeit erreicht, wird der Schlüssel automatisch deaktiviert. Inaktive Schlüssel können nicht mehr für Anfragen verwendet werden.

  • Sie können einen temporären Schlüssel in einen permanenten Schlüssel ändern, indem Sie die Ablaufzeit entfernen.

  • Sie können einen API-Schlüssel 90 Tage nach seiner Deaktivierung löschen.

  • Wenn Sie versuchen, einen API-Schlüssel zu deaktivieren, der in den letzten sieben Tagen verwendet wurde, werden Sie aufgefordert, zu bestätigen, dass Sie die Änderung vornehmen möchten.

  • Wenn Sie die Amazon Location Service API oder die verwenden AWS CLI, setzen Sie den ForceUpdate Parameter auftrue, andernfalls erhalten Sie eine Fehlermeldung.

Beschränken Sie die Verwendung von API-Schlüsseln je nach Herkunft der Anfrage

Sie können API-Schlüssel mit Client-Einschränkungen konfigurieren, die den Zugriff auf bestimmte Domains oder mobile Anwendungen einschränken. Bei der Einschränkung nach Domänen werden Anfragen nur autorisiert, wenn der HTTP-Referer-Header mit dem von Ihnen angegebenen Wert übereinstimmt. Bei der Einschränkung durch eine Android- oder Apple-Anwendung werden Anfragen nur autorisiert, wenn die HTTP-Header-Felder der Anwendungs-ID mit den von Ihnen angegebenen Werten übereinstimmen.

Weitere Informationen finden Sie ApiKeyRestrictionsin der Amazon Location Service API-Referenz.

Identifikatoren für Android-Anwendungen:

• X-Android-Package:

  Eine eindeutige Kennung für Android-Anwendungen, die in der build.gradle App-Datei definiert ist und in der Regel einem umgekehrten Domain-Format folgt.

  Beispiel:

  com.mydomain.appname

• X-Android-Cert:

  Der SHA-1 Hash des Signaturzertifikats, das zum Signieren der Android-APK verwendet wurde.

  Beispiel:

  BB:0D:AC:74:D3:21:E1:43:67:71:9B:62:91:AF:A1:66:6E:44:5D:75

Apple-Anwendungskennungen:

• X-Apple-Bundle-Id :

  Eine eindeutige Kennung für Apple-Anwendungen (iOS, macOS usw.), die in den Apps definiert ist Info.plist und in der Regel einem Reverse-Domain-Format folgt.

  Beispiel:

  com.mydomain.appname