Autenticação de solicitações: uso de parâmetros de consulta (AWS Signature Version 4)

Conforme descrito na visão geral da autenticação (consulte Métodos de autenticação), você pode fornecer informações de autenticação usando parâmetros de string de consulta. Usar parâmetros de consulta para autenticar solicitações é útil quando você deseja expressar uma solicitação inteiramente em um URL. Esse método também é conhecido como pré-assinatura de um URL.

Em um cenário de caso de uso para URLs pré-assinados, você pode conceder acesso temporário aos recursos do Amazon S3. Por exemplo, você pode incorporar um URL pré-assinado em seu site ou, se preferir, usá-lo em um cliente de linha de comando (como Curl) para baixar objetos.

O exemplo a seguir é um URL pré-assinado.

https://examplebucket.s3.amazonaws.com/test.txt
?X-Amz-Algorithm=AWS4-HMAC-SHA256
&X-Amz-Credential=<your-access-key-id>/20130721/us-east-1/s3/aws4_request
&X-Amz-Date=20130721T201207Z
&X-Amz-Expires=86400
&X-Amz-SignedHeaders=host
&X-Amz-Signature=<signature-value>  

No URL de exemplo, observe:

A tabela a seguir descreve os parâmetros de consulta no URL que fornecem informações de autenticação.

<your-access-key-id>/<date>/<Região da AWS>/<AWS-service>/aws4_request

AKIAIOSFODNN7EXAMPLE/20130721/us-east-1/s3/aws4_request

Cálculo de uma assinatura

O diagrama a seguir ilustra o processo de cálculo da assinatura.

A tabela a seguir descreve as funções exibidas no diagrama. É necessário implementar o código para essas funções.

public static String UriEncode(CharSequence input, boolean encodeSlash) {
          StringBuilder result = new StringBuilder();
          for (int i = 0; i < input.length(); i++) {
              char ch = input.charAt(i);
              if ((ch >= 'A' && ch <= 'Z') || (ch >= 'a' && ch <= 'z') || (ch >= '0' && ch <= '9') || ch == '_' || ch == '-' || ch == '~' || ch == '.') {
                  result.append(ch);
              } else if (ch == '/') {
                  result.append(encodeSlash ? "%2F" : ch);
              } else {
                  result.append(toHexUTF8(ch));
              }
          }
          return result.toString();
      }

Para obter mais informações sobre o processo de assinatura (detalhes da criação de uma solicitação canônica, string a ser assinada e cálculos de assinatura), consulte Cálculos de assinatura para o cabeçalho de autorização: transferência de carga útil em uma única parte (AWS Signature Version 4). O processo geralmente é o mesmo, mas a criação de CanonicalRequest em um URL pré-assinado é diferente da seguinte forma:

Um exemplo

Suponha que você tenha um objeto test.txt em seu bucket examplebucket. Você deseja compartilhar esse objeto com outras pessoas por um período de 24 horas (86400 segundos) criando um URL pré-assinado.

https://examplebucket.s3.amazonaws.com/test.txt
?X-Amz-Algorithm=AWS4-HMAC-SHA256
&X-Amz-Credential=AKIAIOSFODNN7EXAMPLE%2F20130524%2Fus-east-1%2Fs3%2Faws4_request
&X-Amz-Date=20130524T000000Z&X-Amz-Expires=86400&X-Amz-SignedHeaders=host
&X-Amz-Signature=<signature-value>

As etapas a seguir ilustram primeiro os cálculos da assinatura e, em seguida, a construção do URL pré-assinado. O exemplo faz as seguintes suposições adicionais:

Você pode usar esse exemplo como um caso de teste para verificar a assinatura que seu código calcula. No entanto, você deve usar o mesmo nome de bucket, chave de objeto, carimbo de data/hora e as seguintes credenciais de exemplo:

Exemplo 2

Veja a seguir um exemplo (não relacionado ao exemplo anterior) mostrando um URL pré-assinado com o parâmetro X-Amz-Security-Token.

https://examplebucket.s3.us-east-1.amazonaws.com/test.txt
?X-Amz-Algorithm=AWS4-HMAC-SHA256
&X-Amz-Credential=AKIAIOSFODNN7EXAMPLE%2F20130524%2Fus-east-1%2Fs3%2Faws4_request
&X-Amz-Date=20200524T000000Z&X-Amz-Expires=86400&X-Amz-SignedHeaders=host
&X-Amz-Security-Token=IQoJb3JpZ2luX2VjEMv%2F%2F%2F%2F%2F%2F%2F%2F%2F%2FwEaCXVzLWVhc3QtMSJGMEQCIBSUbVdj9YGs2g0HkHsOHFdkwOozjARSKHL987NhhOC8AiBPepRU1obMvIbGU0T%2BWphFPgK%2Fqpxaf5Snvm5M57XFkCqlAgjz%2F%2F%2F%2F%2F%2F%2F%2F%2F%2F8BEAAaDDQ3MjM4NTU0NDY2MCIM83pULBe5%2F%2BNm1GZBKvkBVslSaJVgwSef7SsoZCJlfJ56weYl3QCwEGr2F4BmCZZyFpmWEYzWnhNK1AnHMj5nkfKlKBx30XAT5PZGVrmq4Vkn9ewlXQy1Iu3QJRi9Tdod8Ef9%2FyajTaUGh76%2BF5u5a4O115jwultOQiKomVwO318CO4l8lv%2F3HhMOkpdanMXn%2B4PY8lvM8RgnzSu90jOUpGXEOAo%2F6G8OqlMim3%2BZmaQmasn4VYRvESEd7O72QGZ3%2BvDnDVnss0lSYjlv8PP7IujnvhZRnj0WoeOyMe1lL0wTG%2Fa9usH5hE52w%2FYUJccOn0OaZuyROuVsRV4Q70sbWQhUvYUt%2B0tUMKzm8vsFOp4BaNZFqobbjtb36Y92v%2Bx5kY6i0s8QE886jJtUWMP5ldMziClGx3p0mN5dzsYlM3GyiJ%2FO1mWkPQDwg3mtSpOA9oeeuAMPTA7qMqy9RNuTKBDSx9EW27wvPzBum3SJhEfxv48euadKgrIX3Z79ruQFSQOc9LUrDjR%2B4SoWAJqK%2BGX8Q3vPSjsLxhqhEMWd6U4TXcM7ku3gxMbzqfT8NDg%3D
&X-Amz-Signature=<signature-value>