S3の署名付きURLの生成アルゴリズムが知りたい

Question

例えばUser/135/profileというパスに対して署名付きURLをaws cliとかで発行すると、

https://my-bucket.s3.amazonaws.com/User/135/profile/my_photo.jpg?AWSAccessKeyId=AKIAxxxxxxxxxxxxSLIA&Expires=1474442558&Signature=JX65xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxI%3D

といったURLが取得できるかと思います。

1. このSignatureはどのようなアルゴリズムに基づいて生成されているのでしょうか？
2. このSignatureの取得にはAWSへの疎通が必須でしょうか？言い換えると、手元にアクセスキーとシークレットキーがあれば、オフラインでも原理的にはSignatureを生成することができる、といったことはありますでしょうか？

よろしくお願いします。

Answer 1

1. このSignatureはどのようなアルゴリズムに基づいて生成されているのでしょうか？

アルゴリムはAWS Signature Version 4という仕様にまとめられています。

• https://docs.aws.amazon.com/AmazonS3/latest/API/sigv4-query-string-auth.html

ざっくり説明すると以下のようになります。

1. URLにHTTPメソッド（GETなど）を加えた情報からシグネチャの元となる文字列を作る
2. シークレットキーや日時などをキーにして、キー付きのハッシュアルゴリズムで認証コードを生成する

1. このSignatureの取得にはAWSへの疎通が必須でしょうか？言い換えると、手元にアクセスキーとシークレットキーがあれば、オフラインでも原理的にはSignatureを生成することができる、といったことはありますでしょうか？

AWSへの疎通は不要です。ですから手元にアクセスキーとシークレットキーがあれば、オフラインでもsignatureを生成できます。

なお、署名付きURLは、AWSが提供するSDK（ライブラリ）などでも生成できます。もし自分が使っているプログラミング言語について、それ向けのAWS SDKがあるなら、signature生成のアルゴリズムを自分でプログラミングする必要はなくなります。

• https://docs.aws.amazon.com/AmazonS3/latest/dev/PresignedUrlUploadObject.html

Comments

[Sigma1630]

わかりやすい回答をありがとうございます！