Signature Version 2 签名流程

受支持的区域和服务

您可以使用签名版本 2 为某些Amazon区域中的某些Amazon服务签署 API 请求。否则，必须使用签名版本 4 来签署 API 请求。

Signature Version 2 的查询请求组件

Amazon 要求采用签名版本 2 格式的每个 HTTP 或 HTTPS 查询请求都包含以下内容：

下面是一个采用 HTTPS GET 请求格式的示例 Amazon EMR 查询请求。

https://elasticmapreduce.amazonaws.com?
&AWSAccessKeyId=AKIAIOSFODNN7EXAMPLE
&Action=DescribeJobFlows
&SignatureMethod=HmacSHA256
&SignatureVersion=2
&Timestamp=2011-10-03T15%3A19%3A30
&Version=2009-03-31
&Signature=calculated value
		

如何生成查询请求的签名

Web 服务请求通过 Internet 发送，易被篡改。为了确保请求未被更改，Amazon会计算签名，以确定任何参数或参数值在传输途中是否发生了更改。Amazon要求把签名作为每个请求的一部分。

请确保对该请求进行 URI 编码。例如，您请求中的空白应编码为 %20。虽然 HTTP 协议规范通常允许未编码的空格，但使用未编码的字符会使查询请求中的签名无效。请勿将空格编码为加号 (+)，因为这会导致错误。

以下主题将介绍使用Amazon签名版本 2 计算签名所需的步骤。

任务 1：设置查询请求的格式

在对查询请求签名之前，请将请求设置为标准化 (规范) 格式。这是因为采用不同的方式设置查询请求格式会得到不同的 HMAC 签名。在签名前请将请求设置为规范格式。这可以确保您的应用程序和Amazon将为请求计算出相同的签名。

要创建待签字符串，您需要连接查询请求组件。下面的示例为以下 Amazon EMR API 调用生成待签字符串。

https://elasticmapreduce.amazonaws.com?
Action=DescribeJobFlows
&Version=2009-03-31
&AWSAccessKeyId=AKIAIOSFODNN7EXAMPLE
&SignatureVersion=2
&SignatureMethod=HmacSHA256
&Timestamp=2011-10-03T15:19:30
			

任务 2：计算签名

按任务 1：设置查询请求的格式所述创建规范字符串后，使用 HMAC-SHA1 或 HMAC-SHA256 协议创建基于哈希的消息身份验证代码 (HMAC)，然后计算签名。建议使用 HMAC-SHA256 协议。

在本例中，签名是使用以下规范字符串和私有密钥作为加密哈希函数的输入而计算的：

所得签名必须采用 Base-64 编码。

i91nKc4PWAt0JJIdXwz9HxZCJDdiy6cf%2FMj6vPxyYIs%3D

将得到的值作为 Signature 参数添加到查询请求中。在将此参数添加到请求时，您必须像对任何其他参数一样对此参数进行 URI 编码。您可以在 HTTP 或 HTTPS 调用中使用已签名的请求。

https://elasticmapreduce.amazonaws.com?AWSAccessKeyId=AKIAIOSFODNN7EXAMPLE&Action=DescribeJobFlows&SignatureMethod=HmacSHA256&SignatureVersion=2&Timestamp=2011-10-03T15%3A19%3A30&Version=2009-03-31&Signature=i91nKc4PWAt0JJIdXwz9HxZCJDdiy6cf%2FMj6vPxyYIs%3D
			

以下请求使用临时访问密钥 ID 和 SecurityToken 参数。

https://sdb.amazonaws.com/
?Action=GetAttributes
&AWSAccessKeyId=access-key-from-Amazon Security Token Service 
&DomainName=MyDomain
&ItemName=MyItem
&SignatureVersion=2
&SignatureMethod=HmacSHA256
&Timestamp=2010-01-25T15%3A03%3A07-07%3A00
&Version=2009-04-15
&Signature=signature-calculated-using-the-temporary-access-key
&SecurityToken=session-token		

有关更多信息，请参阅以下资源：

排查请求签名的问题

本部分描述了您在最初开发代码生成签名以签署查询请求时可能看到的一些错误代码。

Web 服务中的 SignatureDoesNotMatch 签名错误

如果 Web 服务尝试通过重新计算签名值来验证请求签名，但生成的值与附加到请求的签名不匹配，将返回以下错误响应。这可能是因为在发送请求和请求到达 Web 服务终端节点的过程中，请求被修改（这就是签名要检测的情况），或者是因为签名计算错误。以下错误消息的常见原因是不恰当地创建了待签字符串，例如，忘记对 Amazon S3 存储桶名称中的一些字符进行 URL 编码，如冒号（:）和正斜杠（/）。

			
<ErrorResponse xmlns="http://elasticmapreduce.amazonaws.com/doc/2009-03-31">
  <Error>
    <Type>Sender</Type>
    <Code>SignatureDoesNotMatch</Code>
    <Message>The request signature we calculated does not match the signature you provided. 
    Check your Amazon Secret Access Key and signing method. 
    Consult the service documentation for details.</Message>
  </Error>
  <RequestId>7589637b-e4b0-11e0-95d9-639f87241c66</RequestId>
</ErrorResponse>
		

Web 服务中的 IncompleteSignature 签名错误

以下错误表明该签名缺少信息或格式不正确。

<ErrorResponse xmlns="http://elasticmapreduce.amazonaws.com/doc/2009-03-31">
  <Error>
    <Type>Sender</Type>
    <Code>IncompleteSignature</Code>
    <Message>Request must contain a signature that conforms to Amazon standards</Message>
  </Error>
  <RequestId>7146d0dd-e48e-11e0-a276-bd10ea0cbb74</RequestId>
</ErrorResponse>
				

使用 Java 开发工具包签署查询请求

以下示例使用 Amazon SDK for Java 的 amazon.webservices.common 软件包来生成Amazon签名版本 2 查询请求签名。要做到这一点，这个包创建符合 RFC 2104 要求的 HMAC 签名。有关 HMAC 的更多信息，请参阅 HMAC：用于消息身份验证的哈希密钥。

import java.security.SignatureException;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import com.amazonaws.util.*;

/**
* This class defines common routines for generating
* authentication signatures for Amazon Platform requests.
*/
public class Signature {
    private static final String HMAC_SHA256_ALGORITHM = "HmacSHA256";

    /**
     * Computes RFC 2104-compliant HMAC signature.
     * * @param data
     * The signed data.
     * @param key
     * The signing key.
     * @return
     * The Base64-encoded RFC 2104-compliant HMAC signature.
     * @throws
     * java.security.SignatureException when signature generation fails
     */
    public static String calculateRFC2104HMAC(String data, String key)
    throws java.security.SignatureException
    {
        String result;
        try {

            // Get an hmac_sha256 key from the raw key bytes.
            SecretKeySpec signingKey = new SecretKeySpec(key.getBytes("UTF-8"), HMAC_SHA256_ALGORITHM);

            // Get an hmac_sha256 Mac instance and initialize with the signing key.
            Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
            mac.init(signingKey);

            // Compute the hmac on input data bytes.
            byte[] rawHmac = mac.doFinal(data.getBytes("UTF-8"));

            // Base64-encode the hmac by using the utility in the SDK
            result = BinaryUtils.toBase64(rawHmac);
            

        } catch (Exception e) {
            throw new SignatureException("Failed to generate HMAC : " + e.getMessage());
        }
        return result;
    }
}