如何使用 AWS sign v4 API 创建签名 cookie？

Question

我收到来自亚马逊的电子邮件，说 Sign v2 API 将在月底前到期。

但是 cloudfront 的文档没有提到如何使用 sign v4 API。 (https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/private-content-setting-signed-cookie-canned-policy.html)

目前我使用 cloudfront secret 签署自定义策略，并使用此值设置 cookie。

例子：

Set-Cookie: 
Domain=optional domain name; 
Path=/optional directory path; 
Secure; 
HttpOnly; 
CloudFront-Signature=hashed and signed version of the policy statement

更多详情可以查看这个答案：https://stackoverflow.com/a/29636496/58129

我不确定如何将自定义策略融入 Canonical 请求。 (https://docs.aws.amazon.com/general/latest/gr/sigv4-create-canonical-request.html)

它希望我打包一个规范请求作为第一步。

CanonicalRequest =
  HTTPRequestMethod + '\n' +
  CanonicalURI + '\n' +
  CanonicalQueryString + '\n' +
  CanonicalHeaders + '\n' +
  SignedHeaders + '\n' +
  HexEncode(Hash(RequestPayload))

我想该策略必须存在于请求中的某处，对吗？

如何为云端签名的 cookie 构建此规范请求？

Answer 1

CloudFront 签名 URL/Cookie 与 Sigv4 请求不同。 Sigv4 用于对 AWS 资源进行 API 调用，例如：连接到不同的 AWS 端点 EC2、S3 等以列出、进行任何更改等，而 CloudFront 签名 URL 是使用 RSA（公私）密钥对创建的，与 Sigv4 无关。