View a markdown version of this page

AWS Signature versione 4 per le richieste API - AWS Identity and Access Management
In che modo AWS Sigv4 funzionaIn che modo AWS SigV4a funzionaQuando firmare le richiestePerché le richieste vengono firmateAltre risorse

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Signature versione 4 per le richieste API

Importante

Se utilizzi uno strumento AWS SDK (vedi Sample Code and Libraries) o AWS Command Line Interface (AWS CLI) a cui inviare richieste API AWS, puoi saltare il processo di firma, poiché i client SDK e CLI autenticano le tue richieste utilizzando le chiavi di accesso fornite. A meno che tu non abbia una buona ragione per non farlo, ti consigliamo di utilizzare sempre un SDK o una CLI.

Nelle regioni che supportano più versioni di firma, la firma manuale delle richieste implica che è necessario specificare quale versione della firma utilizzare. Quando fornisci richieste agli Multi-Region Access Point, gli SDK e la CLI passano automaticamente all'utilizzo della versione 4A di Signature senza configurazione aggiuntiva.

Le informazioni di autenticazione inviate in una richiesta devono includere una firma. AWS Signature Version 4 (Sigv4) è il protocollo di AWS firma per aggiungere informazioni di autenticazione alle richieste AWS API.

Non utilizzare la chiave di accesso segreta per firmare le richieste API. Si utilizza invece il processo di firma SigV4. La firma delle richieste implica:

  1. Creazione di una richiesta canonica basata sui dettagli della richiesta.

  2. Calcolo di una firma utilizzando le tue credenziali. AWS

  3. L'aggiunta di questa firma alla richiesta come intestazione di autorizzazione.

AWS quindi replica questo processo e verifica la firma, concedendo o negando l'accesso di conseguenza.

Symmetric SIGv4 richiede di derivare una chiave con ambito per un singolo AWS servizio, in una singola regione, in un determinato giorno. AWS Ciò rende la chiave e la firma calcolata diverse per ogni regione, il che significa che è necessario conoscere la regione a cui è destinata la firma.

Il Signature Version 4 (SigV4A) asimmetrico è un'estensione che supporta la firma con un nuovo algoritmo e la generazione di firme individuali verificabili in più di una regione AWS . Con SigV4a, puoi firmare una richiesta per più regioni, con routing e failover senza interruzioni tra le regioni. Quando si utilizza l' AWS SDK o si richiama una funzionalità che richiede AWS CLI la firma in più regioni, il tipo di firma viene automaticamente modificato per utilizzare Sigv4a. Per informazioni dettagliate, vedi In che modo AWS SigV4a funziona.

In che modo AWS Sigv4 funziona

La procedura riportata di seguito illustra il processo generale di calcolo di una firma con SigV4:

  1. La stringa da firmare dipende dal tipo di richiesta. Ad esempio, quando utilizzi l'intestazione dell'autorizzazione HTTP o i parametri della query per l'autenticazione, utilizzi una combinazione di elementi della richiesta per creare la stringa da firmare. Per una richiesta HTTP POST, la policy POST nella richiesta è la stringa che firmi.

  2. La chiave di firma è una serie di calcoli, con il risultato di ogni passaggio inserito nel successivo. Il passaggio finale è la chiave di firma.

  3. Quando un AWS servizio riceve una richiesta autenticata, ricrea la firma utilizzando le informazioni di autenticazione contenute nella richiesta. Se le firme corrispondono, il servizio elabora la richiesta. In caso contrario, la richiesta viene respinta.

Per ulteriori informazioni, consulta Elementi di un AWS Firma della richiesta API.

In che modo AWS SigV4a funziona

SigV4a utilizza firme asimmetriche basate sulla crittografia a chiave pubblica-privata. Sigv4a segue un processo di derivazione delle credenziali con ambito simile a SigV4, tranne per il fatto che Sigv4a utilizza la stessa chiave per firmare tutte le richieste senza dover derivare una chiave di firma distinta in base alla data, al servizio e alla regione. Una coppia di chiavi ECDSA (Elliptic Curve Digital Signature Algorithm) può essere derivata dalla chiave di accesso segreta esistente. AWS

Il sistema utilizza la crittografia asimmetrica per verificare le firme multiregionali, quindi AWS deve solo archiviare le chiavi pubbliche. Le chiavi pubbliche non sono segrete e non possono essere utilizzate per firmare le richieste. Le firme asimmetriche sono necessarie per le richieste API in più regioni, ad esempio con i punti di accesso Amazon S3. Multi-Region

La procedura riportata di seguito illustra il processo generale di calcolo di una firma con SigV4a:

  1. La stringa da firmare dipende dal tipo di richiesta. Ad esempio, quando utilizzi l'intestazione dell'autorizzazione HTTP o i parametri della query per l'autenticazione, utilizzi una combinazione di elementi della richiesta per creare la stringa da firmare. Per una richiesta HTTP POST, la policy POST nella richiesta è la stringa che firmi.

  2. La chiave di firma deriva da una chiave di accesso segreta AWS tramite una serie di calcoli, con il risultato di ogni passaggio inserito nel successivo. Il passaggio finale produce la coppia di chiavi.

  3. Quando un AWS servizio riceve una richiesta firmata con Sigv4a, AWS verifica la firma utilizzando solo la metà pubblica della coppia di chiavi. Se la firma è valida, la richiesta viene autenticata e il servizio elabora la richiesta. Le richieste con firme non valide vengono rifiutate.

Per ulteriori informazioni su Sigv4a per le richieste API multi-regione, consulta il progetto sigv4a-signing-examples su. https://github.com/aws-samples/sigv4a-signing-examples GitHub

Quando firmare le richieste

Quando scrivi codice personalizzato che invia richieste API a, devi includere il codice che firma le AWS richieste. Potrebbe essere necessario scrivere codice personalizzato perché:

  • Utilizzi un linguaggio di programmazione per il quale non esiste un SDK AWS .

  • È necessario il controllo completo sulla modalità di invio delle richieste AWS.

Mentre le richieste API autenticano l'accesso con AWS Sigv4, AWS gli SDK AWS CLI autenticano le tue richieste utilizzando le chiavi di accesso fornite. Per ulteriori informazioni sull'autenticazione con SDK e altri, consulta. AWS AWS CLIAltre risorse

Perché le richieste vengono firmate

Il processo di firma aiuta a proteggere le richieste, poiché consente di:

  • Verificare l'identità del richiedente

    Le richieste autenticate richiedono una firma che hai creato utilizzando le tue chiavi di accesso (ID chiave di accesso, chiave di accesso segreta). Se stai utilizzando credenziali di sicurezza temporanee, i calcoli della firma richiedono anche un token di sicurezza. Per ulteriori informazioni, consulta AWS  accesso programmatico con credenziali di sicurezza.

  • Proteggere i dati in transito

    Per evitare che una richiesta venga modificata mentre è in transito, alcuni elementi della richiesta stessa vengono utilizzati per calcolare un hash (digest) e il valore hash risultante è incluso come parte della richiesta. Quando an Servizio AWS riceve la richiesta, utilizza le stesse informazioni per calcolare un hash e lo confronta con il valore hash nella richiesta. Se i valori non corrispondono, AWS rifiuta la richiesta.

  • Garantire la protezione da possibili attacchi di tipo replay

    Nella maggior parte dei casi, una richiesta deve pervenire AWS entro cinque minuti dal timestamp indicato nella richiesta. In caso contrario, AWS rifiuta la richiesta.

AWS SigV4 può essere espresso nell'intestazione di autorizzazione HTTP o come stringa di query nell'URL. Per ulteriori informazioni, consulta Metodi di autenticazione.

Altre risorse