在Lambda中验证AWS SIGv4签名

Question

我们有一个无服务器后端，它由API网关中的IAM保护。我们有另一个内部身份验证解决方案，我们希望在我们的服务中支持这两种身份验证机制。我计划编写一个自定义授权程序，带有支持多重身份验证的身份验证链。

但是，我找不到任何方法在后端验证AWS Sigv4签名。我发现AWS文档关于如何签署请求或计算Sigv4签名（[1]，[2]，[3]和[4]），但是所有这些文档都是从客户端的角度来看的，客户端将可以访问ACCESS_KEY_ID，SECRET_ACCESS_KEY和SESSION_TOKEN。当自定义授权程序lambda将收到请求时，它将只有ACCESS_KEY_ID（在授权标头中）和SESSION_TOKEN（作为附加标头）。因此，无法在后端重新计算签名。如何验证后端的签名以进行身份验证？

这篇文章可能是关于如何验证AWS SigV4签名的重复文章，但仍然没有得到回答。此问题中建议的解决方案仍然需要密钥。

[1] https://docs.aws.amazon.com/AmazonS3/latest/API/sig-v4-authenticating-requests.html
[2]https://docs.aws.amazon.com/AmazonS3/latest/API/sig-v4-examples-using-sdks.html
[3]https://docs.aws.amazon.com/general/latest/gr/signing_aws_api_requests.html
[4]https://docs.aws.amazon.com/general/latest/gr/sigv4_signing.html

Answer 1

（注意：我在这里说得有点多，我自己也没有试图实现这一点，只是偏离了第一原则。）

我的理解是SigV4是对称密码，因为它使用的是对称的HMAC。这意味着您的lambda（不可信的第三方）没有密钥本身（在本例中是“秘密访问密钥”）就无法验证签名。如果你有钥匙，你就可以冒充那个用户。可能不受欢迎： P

对于会话令牌，您必须将会话令牌包括在请求头中，正如您所提到的（可能是因为没有人知道您使用哪个会话令牌进行了签名；没有相应的AWS\u session\u token\u ID）。这意味着您实际上可以验证签名，但只能验证请求的完整性：您不知道该会话令牌是否确实属于相关用户。

所以我认为除非AWS为你证实，否则你是被束缚住了。