如何为 aws gateway API 创建预签名 URL

Question

我已经看到 S3 对象的预签名 URL。是否可以为 API 网关创建预签名 URL。我已经查看了文档。我正在使用.NET。我想知道是否有 .NET 库可用于为网关 API 创建预签名请求。

问题
我有GET类似这样的 API https://xxxxxx.execute-api.us-east-1.amazonaws.com/dev/pets?type=dog&page=1，我们的客户端偶尔会调用该 API。他们使用的遗留工具仅支持GET. 所以我想创建一个预签名 URL（到期时间短）并在他们要求时提供给他们。对于每个客户，我已经有IAM他们各自的用户accesskey和secretkey

Answer 1

预签名 URL 通常使用 AWS SigV4签名流程进行签名。

您可以为API Gateway托管终端节点生成 SigV4 签名的 URL。通常，您需要在授权请求标头中发送 SigV4 签名。如果您的客户愿意发送标头，这里有一个示例库，您可以尝试使用 .NET，它会创建带有签名标头的 HTTP 请求。

如果您的客户无法发送授权标头或无法使用上述库，那么您可以将签名转换为查询字符串格式并向他们提供预签名的 URL。

此AWS 文档提供了有关如何生成查询字符串 URL 的 Python 示例。现在，您可以使用 python 示例并使用以下示例转换为基于 .NET 的代码。

public string GetSig4QueryString(string host, string service, string region)
    {
        var t = DateTimeOffset.UtcNow;
        var amzdate = t.ToString("yyyyMMddTHHmmssZ");
        var datestamp = t.ToString("yyyyMMdd");

        var canonical_uri = "/dev/myApigNodeJS";

        var canonical_headers = "host:" + host+"\n";

        var signed_headers = "host";

        var credential_scope = $"{datestamp}/{region}/{service}/aws4_request";

        var canonical_querystring = "X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=" + WebUtility.UrlEncode(_access_key + "/" + credential_scope)
        + "&X-Amz-Date=" + amzdate + "&X-Amz-SignedHeaders=" + signed_headers;

        Console.WriteLine("canonical_querystring");
        Console.WriteLine(canonical_querystring);

        var payload_hash = Hash(new byte[0]);//No Payload for GET
        var canonical_request = new StringBuilder();
        canonical_request.Append("GET\n");
        canonical_request.Append(canonical_uri + "\n");
        canonical_request.Append(canonical_querystring + "\n");
        canonical_request.Append(canonical_headers + "\n");
        canonical_request.Append(signed_headers + "\n");
        canonical_request.Append(payload_hash);

        Console.WriteLine("canonical_request");
        Console.WriteLine(canonical_request);

        var string_to_sign = $"{algorithm}\n{amzdate}\n{credential_scope}\n" + Hash(Encoding.UTF8.GetBytes(canonical_request.ToString()));

        Console.WriteLine("string_to_sign");
        Console.WriteLine(string_to_sign);

        var signing_key = GetSignatureKey(_secret_key, datestamp, region, service);
        var signature = ToHexString(HmacSHA256(signing_key, string_to_sign));

        var signed_querystring = canonical_querystring+"&X-Amz-Signature=" + signature;

        return signed_querystring;
    }

GetSig4QueryString("myApiId.execute-api.us-east-1.amazonaws.com","execute-api","us-east-1");
//Returned String --> X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential= AKIAIOSFODNN7EXAMPLE%2F20190104%2Fus-east-1%2Fexecute-api%2Faws4_request&X-Amz-Date=20190104T190309Z&X-Amz-SignedHeaders=host&X-Amz-Signature=7b830fce28f7800b3879a25850950f6c4247dfdc07775b6952295fa2fff03f7f

完整端点变成 -

https://myApiId.execute-api.us-east-1.amazonaws.com/dev/myApigNodeJS?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAIOSFODNN7EXAMPLE%2F20190104%2Fus-east-1% 2Fexecute-api%2Faws4_request&X-Amz-Date=20190104T190309Z&X-Amz-SignedHeaders=主机&X-Amz-Signature=7b830fce28f7800b3879a25850950f6c4247dfdc07775b6952295fa2fff03f7f

笔记 -

1. 此示例代码引用了我上面给出的Github项目中的方法和变量。
2. 此外，此示例硬编码 API 路径/dev/myApigNodeJS并对其进行签名，对于具有完整绝对路径的您来说它将有所不同。
3. AWS 建议对您计划在请求中发送的所有查询字符串、标头进行签名。浏览我提到的库的 .NET 代码并了解它是如何做到这一点的。

如果您有疑问，请告诉我。