签名过期：现在早于错误：InvalidSignatureException

Question

我正在尝试一个带有AWS API网关和I am授权的小例子。AWS API网关生成了以下endpoint:

https://xyz1234.execute-api.us-east-2.amazonaws.com/Users/users

带POST操作且不带参数。

最初，我关闭了这个POST方法的IAM，并使用Postman来验证结果。然后，我创建了一个新的IAM用户，并将AmazonAPIGatewayInvokeFullAccess策略附加到该用户，从而允许调用任何API。为POST方法启用了IAM。

然后，我转到Postman——添加了带有AccessKey、Secret Key、AWS区域为< code>us-east-2和服务名为< code>execute-api的授权，并尝试执行请求，但我得到了InvalidSignatureException错误，返回代码为403。

正文包含以下消息：

Signature expired: 20170517T062414Z is now earlier than 20170517T062840Z (20170517T063340Z - 5 min.)" 

我错过了什么？

Answer 1

当我使用timedatectl命令更改底层计算机的日期时间时，遇到了类似的问题...MikeD给出的解释

sudo apt install ntp
sudo apt install ntpdate
sudo ntpdate ntp.ubuntu.com

将时间与正确的当前日期时间同步后，此问题将得到解决

Answer 2

您需要将机器的本地时钟与NTP同步。

例如。在ubuntu机器上：

sudo ntpdate pool.ntp.org

系统时间经常不同步。您需要定期保持它们的同步。

您可以运行每日 CRON 作业以保持系统时间同步，如以下链接所述：在 Linux 中定期同步时间

创建一个名为ntpdate的bash脚本来同步时间，并将下面的html" target="_blank">代码放入其中

#!/bin/sh
# sync server time
/usr/sbin/ntpdate pool.ntp.org >> /tmp/ntpdate.log

您可以将该脚本放在您喜欢的任何地方，然后设置一个cron。我将把它放在每日cron目录中，以便它每天运行一次，因此我的ntpdate脚本现在位于/etc/cron.daily/ntpdate中，它将每天运行

使此脚本可执行

chmod +x /etc/cron.daily/ntpdate

通过运行一次脚本进行测试，并在/tmp/ntpdate.log中查找一些输出

/etc/cron.daily/ntpdate

在您的日志文件中，您应该会看到类似的内容

26 Aug 12:19:06 ntpdate[2191]: adjust time server 206.108.0.131 offset 0.272120 sec

Answer 3

使用AWS sigV4签名的请求包含创建签名的时间戳。签名仅在创建后的短时间内有效。（这限制了尝试重放攻击的时间。）

验证签名时，会将时间戳与当前时间进行比较。如果这表明签名不是最近创建的，则签名验证失败并出现您提到的错误消息。

如果你在Windows上使用WSL的Docker容器中得到这个，那么通过在Powershell中运行wsl -d docker-desktop -e /sbin/hwclock -s来修复WSL时间可能会有所帮助。您可以通过登录到容器并在终端中键入日期并将其与主机时间进行比较来验证是否属于这种情况。

出现这种情况的一个常见原因是生成签名的主机上的本地时钟偏差超过几分钟。