API GatewayのAWS_IAMでクエリパラメータにX-Amz-Expiresを追加してURLの認可期限を延ばしたい

API GatewayのAWS_IAMでクエリパラメータにX-Amz-Expiresを追加してURLの認可期限を延ばしたい

API Gatewayの認可でAWS_IAMを指定すると、ヘッダ情報にAuthentication情報を付加する必要があります。

ヘッダ情報を付けずにそのままAPIを叩くと403Forbiddenエラー(Missing Authentication Token)となります。

必要なヘッダ情報は以下3つです。

hostで指定するのはAPIのドメインです。

X-Amz-Dateで指定するのは日付(ISO8601形式)です。

Authorizationで指定するのは上の通りです。SignatureはSigV4という署名になります。

V1～V4までの署名について以下サイトがかなりわかりやく記述されてあります。

AWS REST リクエストの署名についてメモ

AWS の REST API のリクエストでは署名(signature)を使って、API のセキュリティチェックを行っている。 サービス開始時に Version 1(いまは使われていない) が公開されたあと、2, 3, 4 という合計4種類...

siguniang.wordpress.com

署名有効期限はだいたい5分

有効期限はどうも5分のようです。5分を過ぎてAPIを叩くと以下のようなエラーが出ます。

ヘッダ情報に付加している情報を削除し、全てクエリパラメータにすることによってX-Amz-expiresが効くかどうかを検証してみました。(POSTでヘッダ情報を空にして、クエリパラメータを付加してあげます。ヘッダとクエリパラメータの混同はエラーとなります。）

必要なパラメータは以下となります。

上記情報にX-Amz-Expiresを秒指定で追加します。

結論としては、X-Amz-Expiresは効きません。

署名については再利用するのではなく、API リクエストの都度その時点の日時を用いて生成をする必要があるようです。

Signatureの計算

自前でするのは面倒なので、以下サイトのindex.jsが簡単に吐いてくれます。非公開メソッドを使用しているようです。

aws-sdk\lib\signers\v4.jsやaws-sdk\lib\signers\v4_credentials.jsを見たらこのクソ難しいsigv4の署名をやっているのがわかります。

API GatewayでAPIにIAM認証をかけて、Node.jsでSigV4署名ヘッダを作成してリクエストしてみる | DevelopersIO

CX事業本部の佐藤です。 API GatewayでIAM認証を設定して、Node.jsでSigV4署名を実装する機会がありましたので、知見としてまとめます。 API Gatewayの認証方式 まずは、API Gatewa …

dev.classmethod.jp

とにかく署名のロジックは面倒なので、aws-signature-v4モジュールを使うとかもありです。

高橋

KHI入社して退社。今はCONFRAGEで正社員です。関西で140-170/80～120万から受け付けております^^
得意技はJS(ES6),Java,AWSの大体のリソースです
コメントはやさしくお願いいたします^^
座右の銘は、「狭き門より入れ」「願わくは、我に七難八苦を与えたまえ」です^^