[ PHP ] AWS 署名バージョン 4

2019/2/20 PHP

SDKを使わないで自分で作ってみる

この記事は参考程度と思ってください。環境ごとに値が違うので。

AWS SDK for PHP バージョン 3 とは - AWS SDK for PHP
AWS SDK for PHP バージョン 3 により、PHP デベロッパーは PHP コードで Amazon Web Services を使用できます。
docs.aws.amazon.com

 

参考になるのは、「完全なバージョン 4 署名プロセスの例 (Python)」

署名付き AWS API リクエストを作成する - AWS Identity and Access Management
AWS SigV4 署名プロトコルを使用して、AWS API リクエストを署名付きで作成する方法を学びます。正規リクエストの作成とハッシュ化、署名文字列の作成、署名キーの取得、リクエストに追加する署名の計算を行う方法を学びます。
docs.aws.amazon.com

 

参考ドキュメントはこちら

署名付き AWS API リクエストを作成する - AWS Identity and Access Management
AWS SigV4 署名プロトコルを使用して、AWS API リクエストを署名付きで作成する方法を学びます。正規リクエストの作成とハッシュ化、署名文字列の作成、署名キーの取得、リクエストに追加する署名の計算を行う方法を学びます。
docs.aws.amazon.com

 

１．署名バージョン 4 の正規リクエストを作成する

CanonicalRequest =
    HTTPRequestMethod + '\n' +
    CanonicalURI + '\n' +
    CanonicalQueryString + '\n' +
    CanonicalHeaders + '\n' +
    SignedHeaders + '\n' +
    HexEncode(Hash(RequestPayload))

上記をPHPに置き換えると。

private function CanonicalRequest($canonicalRequest) {
    $str = $canonicalRequest['method'] . "\n"
         . $canonicalRequest['uri'] . "\n"
         . $canonicalRequest['query'] . "\n";
    if (count($canonicalRequest['headers']) > 0) {
        foreach ($canonicalRequest['headers'] as $item) {
            $str .= $item . "\n";
        }
    } else { $str .= "\n"; }
    $str .= "\n";
    $str .=$canonicalRequest['signedheaders'] . "\n"
         . $canonicalRequest['payload'];
    return hash('sha256', $str, true);
}

呼び出し側はこちら（payloadはPOSTなどのRAWデータが無ければこのまま）

$headers = [
    'content-type:application/json;charset=UTF-8',
    'host:' . { host },
    'x-amz-date:' . gmdate("Ymd\THis\Z")
];
$canonicalRequest = [
    'method' => 'GET',
    'uri' => '/test',
    'query' => '',
    'headers' => $headers,
    'signedheaders' => 'content-type;host;x-amz-date',
    'payload' => 'e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855'
];
$canonical_request = $this->CanonicalRequest($canonicalRequest);

ヘッダが増えれば、signedheadersも変わるのと、アルファベット順である必要があります。

payloadの求め方は、$payload = hash(‘sha256’, ”);

 

２．署名バージョン 4 の署名文字列を作成する

StringToSign =
    Algorithm + \n +
    RequestDateTime + \n +
    CredentialScope + \n +
    HashedCanonicalRequest

PHP変換後、

private function signature($param, $canonical_request, $signing_key) {
    $credential_scope = $param['datestamp'] . "/"
                      . { region } . "/"
                      . { service } . "/"
                      . 'aws4_request';
    $string_to_sign = { algorithm } . "\n"    // 'AWS4-HMAC-SHA256'
                    . $param['amzdate'] . "\n"
                    . $credential_scope . "\n"
                    . bin2hex($canonical_request);
    return hash_hmac('sha256', $string_to_sign, $signing_key, true);
}

呼び出し側

$gmtDate = gmdate("Ymd\THis\Z");
$param['amzdate'] = $gmtDate;
$param['datestamp'] = substr($gmtDate, 0, 8);

$signature = $this->signature(
    $param,
    $canonical_request,    // １の正規リクエストで生成したデータ
    $signing_key);         // ３の署名データ

なぜか３の処理が入ってきてるけどドキュメント上はこちらが先だったり

 

３．AWS 署名バージョン 4 の署名を計算する

kSecret = your secret access key
kDate = HMAC("AWS4" + kSecret, Date)
kRegion = HMAC(kDate, Region)
kService = HMAC(kRegion, Service)
kSigning = HMAC(kService, "aws4_request")

PHP変換後は、

private function signatureKey($key, $dateStamp, $regionName, $serviceName) {
    $kDate = hash_hmac('sha256', $dateStamp, 'AWS4'.$key, true);
//echo 'kDate : '.bin2hex($kDate); // 中身を確認するときはこちらで
    $kRegion = hash_hmac('sha256', $regionName, $kDate, true);
    $kService = hash_hmac('sha256', $serviceName, $kRegion, true);
    $kSigning = hash_hmac('sha256', 'aws4_request', $kService, true);
    return $kSigning;
}

呼び出し側はこちら

$gmtDate = gmdate("Ymd\THis\Z");
$param['amzdate'] = $gmtDate;
$param['datestamp'] = substr($gmtDate, 0, 8);

$signing_key = $this->signatureKey(
    { secretkey },
    $datestamp, 
    { region },
    { service });

hash_hmacのバイナリで行う必要があります。デバッグにbin2hexを使うと確認できます。

secretkeyは一時認証などで取得できます。

 

４．署名情報をリクエストに追加する

Authorization: algorithm Credential=access key ID/credential scope, SignedHeaders=SignedHeaders, Signature=signature

いままでの処理はこの１行を作るためのもので、やっとゴールです。

private function createAuthorization($param, $canonicalRequest, $signature) {
    $credential = { accesskey } . "/"
                . $param['datestamp'] . "/"
                . { region } . "/"
                . { service } . "/"
                . 'aws4_request';
    $signedHeaders = $canonicalRequest['signedheaders'];
    $auth = { algorithm } . ' ' // 'AWS4-HMAC-SHA256'
          . 'Credential=' . $credential . ', '
          . 'SignedHeaders=' . $signedHeaders . ', '
          . 'Signature=' . bin2hex($signature);
    return $auth;
}

呼び出し元は

$gmtDate = gmdate("Ymd\THis\Z");
$param['amzdate'] = $gmtDate;
$param['datestamp'] = substr($gmtDate, 0, 8);

$canonicalRequest = [
    ...
    'signedheaders' => 'content-type;host;x-amz-date',
    ...
];

$auth = $this->createAuthorization(
    $param,
    $canonicalRequest,
    $signature);    // ３で生成したデータ
$authorization = 'Authorization:' . $auth;

 

おおまかにですが、こんな感じになります。一部は環境ごとに違ったり別処理が必要だったり

実際開発時や確認はPostmanを利用するほうが楽になります。

PHP-SDKが使えればよかったんですが、認証の一時発行が外部から動作しない？のか使えなくて全てPHPのCURLにて置き換えてます。

 

５．AWSの一時認証（おまけ）

private function signingAWS($cognito_id, $openid_token) {
    // urlは適当に
    $url = 'https://cognito-identity.ap-northeast-1.amazonaws.com/';
    $body = [
        'IdentityId' => $cognito_id,
        'Logins' => [
            'cognito-identity.amazonaws.com' => $openid_token,
        ]
    ];
    $headers = [
        'Content-Type: application/x-amz-json-1.1',
        'Origin: null',
        'X-Amz-Content-Sha256: ' . hash('sha256', json_encode($body)),
        'X-Amz-Target: AWSCognitoIdentityService.GetCredentialsForIdentity',
    ];

    $ret = $this->requestPost($url, $headers, $body);
    return $ret;
}

この方法であってるか判りません。

cognito_idとopenid_tokenはAWSのログイン時に取得できます。

値は実際の環境に合わせてください。

 

フォローする

kei