使用预签名 v4 签名的 S3 下载对象

Question

在 C# 中是否有任何示例可以查看如何使用带有 AWS v4 signature 的起始策略对所有对象进行预签名，以让客户从各自的文件夹结构中下载对象，而不是分别对每个文档进行签名。

文档说：

https://s3.amazonaws.com/examplebucket/test.txt
?X-Amz-Algorithm=AWS4-HMAC-SHA256
&X-Amz-Credential=<your-access-key-id>/20130721/us-east-1/s3/aws4_request
&X-Amz-Date=20130721T201207Z
&X-Amz-Expires=86400
&X-Amz-SignedHeaders=host
&X-Amz-Signature=<signature-value>  

但我的签名不适用于 GET（下载）对象，在上传时正常工作

void Main()
{
    string bucket = "bucket-name-here";
    string s3Key = "s3-key-here";
    string s3Secret = "secret-here";
    string s3Region = "us-east-1";
    string Date = DateTime.UtcNow.ToString("yyyyMMdd");
    string xAmzDate = DateTime.UtcNow.ToString("yyyyMMdd") + "T000000Z";
    string expiration = DateTime.UtcNow.AddDays(1).ToString("yyyy-MM-ddTHH:mm:ssK");

    string policyString = $@"{{""expiration"":""{expiration}"",""conditions"":[{{""bucket"":""{bucket}""}},{{""acl"":""private""}},[""starts-with"",""$key"",""Client_1""],[""starts-with"",""$Content-Type"",""""],[""starts-with"",""$filename"",""""],{{""x-amz-date"":""{xAmzDate}""}},{{""x-amz-credential"":""{s3Key}/{Date}/us-east-1/s3/aws4_request""}},{{""x-amz-algorithm"":""AWS4-HMAC-SHA256""}}]}}";

    var policyStringBytes = Encoding.UTF8.GetBytes(policyString);
    var policy = Convert.ToBase64String(policyStringBytes);
    //policy.Dump();


    byte[] signingKey = GetSigningKey(s3Secret, Date, s3Region, "s3");
    byte[] signature = HmacSHA256(policy, signingKey);

    var sign = ToHexString(signature);

    sign.Dump();
}

static byte[] HmacSHA256(String data, byte[] key)
{
    String algorithm = "HmacSHA256";
    KeyedHashAlgorithm kha = KeyedHashAlgorithm.Create(algorithm);
    kha.Key = key;

    return kha.ComputeHash(Encoding.UTF8.GetBytes(data));
}

private byte[] GetSigningKey(String key, String dateStamp, String regionName, String serviceName)
{
    byte[] kSecret = Encoding.UTF8.GetBytes(("AWS4" + key).ToCharArray());
    byte[] kDate = HmacSHA256(dateStamp, kSecret);
    byte[] kRegion = HmacSHA256(regionName, kDate);
    byte[] kService = HmacSHA256(serviceName, kRegion);
    byte[] kSigning = HmacSHA256("aws4_request", kService);
    return kSigning;
}

public static string ToHexString(byte[] data)
{
    StringBuilder sb = new StringBuilder();
    for (int i = 0; i < data.Length; i++)
    {
        sb.Append(data[i].ToString("x2", CultureInfo.InvariantCulture));
    }
    return sb.ToString();
}

有关问题的更多信息：我们在 S3 上为数百个客户提供了数千个文档，它们各自的文件夹结构如下所示。现在，每次客户想要下载他们的对象时，他们都会被我们的 API 签名以创建可下载链接 > 因此每个文档都是单独签名的。

客户端 1

Client_1/Document1.xyz 
Client_1/Document2.xyz 

客户端 2

Client_2/Document1.xyz 
Client_2/Document2.xyz 

Answer 1

S3 HTML 表单 POST 上传的签名算法允许您签署具有 ["starts-with","$key",...] 等约束的策略文档，但 S3 的预签名 URL 不支持此功能。使用预签名 URL，您签署的不是策略文档，而是“规范请求”，它是浏览器确切请求的规范化表示。所以不支持通配符或前缀。

我想到了两种选择。

CloudFront signed URLs and signed cookies 确实支持策略文档，当您使用“自定义策略”（不是“标准策略”，这更像是 S3 支持的）并且自定义策略允许在 URL 中使用 * 时，类似于["starts-with","$key",...] 但使用浏览器将请求的 URL。您只需进行一次签名，在浏览器中运行的代码可以重用该策略和签名。在 CloudFront 的背面，在使用 CloudFront 签名 URL 或签名 cookie 对 CloudFront 前端的请求进行身份验证后，在请求实际发送到存储桶时，使用 CloudFront 原始访问身份对请求进行签名。 （使用签名的 cookie，浏览器只是发出请求，并自动提交 cookie，因此工作方式相同，但浏览器不会对 URL 进行操作。

或者，您的服务器可以调用安全令牌服务中的 AssumeRole 操作，以生成一组临时凭据供客户端使用，以签署其自己的各个 URL。

当调用AssumeRole 时，您还可以传递一个可选的会话策略 文档。如果这样做，则生成的临时凭证只能执行角色策略（“允许从存储桶读取”）和会话策略（“允许从存储桶读取以特定前缀开头的键”）允许的操作。因此，获得的角色凭据将只允许用户访问他们的对象。