翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Amazon SNS メッセージの署名の検証
Amazon によってHTTPエンドポイントに送信されたメッセージの信頼性を確認するにはSNS、メッセージ署名を検証します。メッセージの信頼性の検証を推奨するケースは 2 つあります。まず、トピックにサブスクライブしたSNSメッセージを Amazon がHTTPエンドポイントに送信するとき。2 SNSつ目は、 Subscribe
または Unsubscribe
APIアクションの実行時に Amazon がHTTPエンドポイントに確認メッセージを送信するときです。
Amazon によって送信されたメッセージを検証するときは、次の操作を行う必要がありますSNS。
-
Amazon から証明書を取得するHTTPSときは、常に を使用してくださいSNS。
-
証明書の信頼性を検証する
-
証明書が Amazon から受信されたことを確認しますSNS。
-
可能であれば、Amazon でサポートされている AWS SDKs のいずれかを使用してSNS、メッセージを検証および検証します。
-
Amazon SNS メッセージが目的の から受信されていることを確認します
TopicArn
。
Amazon SNS は、次の 2 つのメッセージ署名バージョンをサポートしています。
-
SignatureVersion
1: Amazon は、メッセージのSHA1ハッシュに基づいて署名SNSを作成します。 -
SignatureVersion
2: Amazon は、メッセージのSHA256ハッシュに基づいて署名SNSを作成します。
Amazon SNSトピックでメッセージ署名バージョンを設定するには
デフォルトでは、Amazon SNSトピックは 1 SignatureVersion
を使用します。Amazon SNSトピックでハッシュアルゴリズム 1 (SHA1) SignatureVersion
または 2 (SHA256) SignatureVersion
を選択するには、 SetTopicAttributes
APIアクションを使用できます。
次のコード例は、 AWS CLIを使用してトピック属性 SignatureVersion
を設定する方法を示しています。
aws sns set-topic-attributes \
--topic-arn arn:aws:sns:us-east-2:123456789012:MyTopic \
--attribute-name SignatureVersion \
--attribute-value 2
HTTP クエリベースのリクエストを使用するときに Amazon SNS メッセージの署名を検証するには
-
Amazon がエンドポイントSNSに送信したHTTPPOSTリクエストの本文にあるJSONドキュメントから名前と値のペアを抽出します。署名対象の文字列を作成するために、名前と値のペアの一部の値を使用します。Amazon SNS メッセージの署名を検証するときは、エスケープされた制御文字を
Message
およびSubject
値の元の文字表現に変換することが重要です。これらの値では、署名対象の文字列の一部として使用するときに、元の形式になっている必要があります。JSON ドキュメントを解析する方法については、「」を参照してくださいステップ 1: エンドポイントで Amazon SNS メッセージを処理する準備が完了していることを確認する。は、メッセージの署名を生成するSNSために Amazon が使用する署名バージョン
SignatureVersion
を指示します。署名バージョンからは、署名を生成する方法の要件を判断できます。通知については、Amazon SNS は現在署名バージョン 1 および 2 をサポートしています。このセクションでは、これらの署名バージョンを使用して署名を作成する手順を説明します。 -
Amazon がメッセージの署名SNSに使用した X509 証明書を取得します。
SigningCertURL
値は、メッセージのデジタル署名の作成に使用された X509 証明書の場所を指します。この場所から証明書を取得します。 -
証明書から公開キーを抽出します。
SigningCertURL
で指定された証明書からの公開キーを使用して、メッセージの信頼性と整合性を確認します。 -
メッセージタイプを判断します。署名対象の文字列の形式は
Type
値によって指定されるメッセージタイプによって異なります。 -
署名対象の文字列を作成します。署名対象の文字列は、改行文字で区切られた、メッセージからの特定の名前と値のペアのリストです。それぞれの名前と値のペアは、名前で始まり、改行文字、値の順に続き、改行文字で終わります。名前と値のペアは、バイト順でソートしてリストされる必要があります。
署名対象の文字列には、メッセージタイプに応じて以下の名前と値のペアが必要です。
- 通知
-
通知メッセージには、以下の名前と値のペアを含める必要があります。
Message MessageId Subject (if included in the message) Timestamp TopicArn Type
以下の例は
Notification
の署名対象の文字列です。Message My Test Message MessageId 4d4dc071-ddbf-465d-bba8-08f81c89da64 Subject My subject Timestamp 2019-01-31T04:37:04.321Z TopicArn arn:aws:sns:us-east-2:123456789012:s4-MySNSTopic-1G1WEFCOXTC0P Type Notification
- SubscriptionConfirmation および UnsubscribeConfirmation
-
SubscriptionConfirmation
およびUnsubscribeConfirmation
メッセージの署名を検証するには、署名する文字列に次の名前と値のペアが含まれている必要があります。Message MessageId SubscribeURL Timestamp Token TopicArn Type
次の例は、
SubscriptionConfirmation
メッセージに署名する文字列です。Message My Test Message MessageId 3d891288-136d-417f-bc05-901c108273ee SubscribeURL https://sns.us-east-2.amazonaws.com/?Action=ConfirmSubscription&TopicArn=arn:aws:sns:us-east-2:123456789012:s4-MySNSTopic-1G1WEFCOXTC0P&Token=
233...
Timestamp 2019-01-31T19:25:13.719Z Token233...
TopicArn arn:aws:sns:us-east-2:123456789012:s4-MySNSTopic-1G1WEFCOXTC0P Type SubscriptionConfirmation
注記
SubscribeURL
フィールドは、SubscriptionConfirmation
およびUnsubscribeConfirmation
メッセージの両方に署名するために文字列で使用されます。これはURL、サブスクリプションを確認または管理するために必要です。 -
Base64 形式から
Signature
値をデコードします。メッセージは、Base64 としてエンコードされたSignature
値で署名を配信します。署名の値を、計算した署名と比較する前に、Base64 からSignature
の値をデコードし、同じ形式を使って値を比較します。 -
Amazon SNSメッセージの派生ハッシュ値を生成します。Amazon SNSメッセージを正規形式で、署名の生成に使用したのと同じハッシュアルゴリズムに送信します。
-
SignatureVersion
が 1 の場合は、ハッシュアルゴリズムSHA1として を使用します。 -
SignatureVersion
が 2 の場合は、ハッシュアルゴリズムSHA256として を使用します。
-
-
Amazon SNSメッセージのアサートされたハッシュ値を生成します。アサートされたハッシュ値は、パブリックキー値 (ステップ 3 から) を使用して Amazon SNS メッセージで配信される署名を復号した結果です。
-
Amazon SNS メッセージの信頼性と整合性を検証します。(ステップ 7 から) 派生したハッシュ値を、(ステップ 8 から) アサートされたハッシュ値に比較します。値が同じ場合、受信者は転送中にメッセージが変更されておらず、メッセージが Amazon から発信されている必要がありますSNS。値が同じでない場合、受信者はこれを信頼することはできません。