Assine requisições de origem com HMAC

Sirva um bucket privado compatível com S3 por meio de um connector que assina cada requisição de origem com credenciais HMAC.

Última atualização

Ver como Markdown Configurar agente

Você pode servir os objetos de um bucket privado por meio de um connector que assina cada requisição ao endpoint compatível com S3 do bucket, pelo Azion Console, pela Azion CLI ou pela API. A assinatura é HMAC, uma configuração de Origin Shield em um connector do tipo http. Para aceitar na sua origem apenas os endereços da Azion, consulte Libere os IPs da Azion na sua origem.

Os exemplos usam o endpoint de Azion Object Storage s3.us-east-005.azionstorage.net com a região us-east-005, e um objeto chamado hello.txt na raiz do bucket. Substitua-os pelo endpoint, pela região e por um objeto do seu provedor.

Selecione a interface que você usa. Os pré-requisitos e cada tarefa desta página seguem essa escolha.

Pré-requisitos

  • Uma aplicação servida por um workload, e o workload domain ou um domínio seu ao qual o workload responde. Para criá-los, consulte Primeiros passos com Applications.
  • Um bucket privado em um endpoint compatível com S3, e uma access key e uma secret key que podem ler o bucket. Para as credenciais de Azion Object Storage, consulte Compatibilidade com S3.
  • curl, para verificar o resultado.
  • A Azion CLI, instalada e autorizada.
  • O ID da sua aplicação.
  • Um personal token e o ID da sua aplicação.

Crie o connector de assinatura

O connector alcança o endpoint por HTTPS e envia o próprio nome do endpoint como header Host. O caminho dele, /<bucket-name>, vai na frente de cada caminho de requisição, então uma requisição para /hello.txt chega ao endpoint como /<bucket-name>/hello.txt. Com Origin Shield ativado, HMAC assina cada uma dessas requisições com as suas credenciais, usando o tipo aws4_hmac_sha256.

A CLI cria um connector a partir de um arquivo JSON. Salve este corpo como connector.json e substitua <bucket-name>, <access-key> e <secret-key> pelos seus valores:

JSON
01{
02 "name": "my-bucket-connector",
03 "type": "http",
04 "attributes": {
05 "addresses": [{ "address": "s3.us-east-005.azionstorage.net" }],
06 "connection_options": {
07 "transport_policy": "force_https",
08 "host": "s3.us-east-005.azionstorage.net",
09 "path_prefix": "/<bucket-name>"
10 },
11 "modules": {
12 "origin_shield": {
13 "enabled": true,
14 "config": {
15 "origin_ip_acl": { "enabled": false },
16 "hmac": {
17 "enabled": true,
18 "config": {
19 "type": "aws4_hmac_sha256",
20 "attributes": {
21 "region": "us-east-005",
22 "service": "s3",
23 "access_key": "<access-key>",
24 "secret_key": "<secret-key>"
25 }
26 }
27 }
28 }
29 }
30 }
31 }
32}

O arquivo contém a sua secret key. Exclua-o depois de criar o connector.

Para criar o connector com a Azion CLI, passe o arquivo e o tipo. O comando exige --type mesmo que o arquivo nomeie o tipo:

azion create connector --type http --file connector.json

A saída traz o ID do novo connector:

Created Connector with ID <connector-id>

Anote o ID: a próxima tarefa o passa como <connector-id>. O connector existe na sua conta e assina cada requisição que envia ao endpoint.

A API recebe o connector como um corpo JSON. Salve este corpo como connector.json e substitua <bucket-name>, <access-key> e <secret-key> pelos seus valores:

JSON
01{
02 "name": "my-bucket-connector",
03 "type": "http",
04 "attributes": {
05 "addresses": [{ "address": "s3.us-east-005.azionstorage.net" }],
06 "connection_options": {
07 "transport_policy": "force_https",
08 "host": "s3.us-east-005.azionstorage.net",
09 "path_prefix": "/<bucket-name>"
10 },
11 "modules": {
12 "origin_shield": {
13 "enabled": true,
14 "config": {
15 "origin_ip_acl": { "enabled": false },
16 "hmac": {
17 "enabled": true,
18 "config": {
19 "type": "aws4_hmac_sha256",
20 "attributes": {
21 "region": "us-east-005",
22 "service": "s3",
23 "access_key": "<access-key>",
24 "secret_key": "<secret-key>"
25 }
26 }
27 }
28 }
29 }
30 }
31 }
32}

O arquivo contém a sua secret key. Exclua-o depois de criar o connector.

Para criar o connector com a API, envie uma requisição POST ao endpoint de connectors. Substitua [TOKEN VALUE] pelo seu personal token:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/connectors \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data @connector.json

A API responde 202 com "state": "pending" e o connector armazenado, cujo id a próxima tarefa passa como <connector-id>. Na resposta, attributes.modules.origin_shield.config.hmac.enabled contém true. Com hmac.enabled definido como true e sem hmac.config, a API recusa a requisição com 400 e 28014 Module configuration must be provided when 'enabled' is true.

Para criar o connector no Azion Console:

Abra a página Connectors

Acesse Azion Console > Connectors.

Inicie um connector

A página Create Connector abre.

Nomeie o connector

Em General, informe my-bucket-connector como Name.

Selecione o tipo HTTP

Em Connector Type, selecione HTTP.

Informe o endpoint como endereço

Em Address Management, informe s3.us-east-005.azionstorage.net em Address, sem protocolo e sem porta.

Envie o nome do endpoint no header Host

Em Host, informe s3.us-east-005.azionstorage.net.

Informe o bucket como caminho

Em Path, informe / seguido do nome do seu bucket.

Conecte somente por HTTPS

Em Transport Protocol Policy, selecione Force HTTPS.

Ative Origin Shield

Em Modules, ative Origin Shield.

Ative HMAC

Ative o switch da seção HMAC. Type mostra aws4_hmac_sha256 e não pode ser alterado.

Informe a região e o serviço

Em Region, informe us-east-005. Em Service, informe s3.

Informe as credenciais

Em Access Key e Secret Key, informe as credenciais que podem ler o bucket.

Selecione Create

O connector existe na sua conta e assina cada requisição que envia ao endpoint.

Desativar HMAC depois remove as credenciais armazenadas. Para ativá-lo de novo, informe outra vez a access key e a secret key.

Envie requisições ao connector

Um connector não recebe tráfego até que uma regra na sua aplicação o nomeie. Esta regra corresponde a requisições para /hello.txt na fase de requisição, e o behavior Set Connector dela as envia ao connector de assinatura. Substitua /hello.txt pelo caminho do seu objeto. Se a sua aplicação já tem uma regra que corresponde a todos os caminhos, mantenha esta regra depois dela, para que esta regra decida o connector do objeto. Para mais informações, consulte Set Connector.

Mantenha a regra em um arquivo: em uma linha de comando, o shell expandiria ${uri}. Salve este corpo como rule.json e substitua <connector-id> pelo ID do connector de assinatura:

JSON
01{
02 "name": "send-object-to-bucket",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "variable": "${uri}",
08 "conditional": "if",
09 "operator": "starts_with",
10 "argument": "/hello.txt"
11 }
12 ]
13 ],
14 "behaviors": [
15 {
16 "type": "set_connector",
17 "attributes": { "value": <connector-id> }
18 }
19 ]
20}

Para criar a regra com a Azion CLI, execute este comando. Substitua <application-id> pelo ID da sua aplicação:

azion create rules-engine --application-id <application-id> --phase request --file rule.json

A saída traz o ID da nova regra:

Created Rules Engine with ID <rule-id>

A regra está ativa na sua aplicação e envia as requisições para /hello.txt ao connector de assinatura.

Mantenha o corpo da requisição em um arquivo: em uma linha de comando, o shell expandiria ${uri}. Salve este corpo como rule.json e substitua <connector-id> pelo ID do connector de assinatura:

JSON
01{
02 "name": "send-object-to-bucket",
03 "active": true,
04 "criteria": [
05 [
06 {
07 "variable": "${uri}",
08 "conditional": "if",
09 "operator": "starts_with",
10 "argument": "/hello.txt"
11 }
12 ]
13 ],
14 "behaviors": [
15 {
16 "type": "set_connector",
17 "attributes": { "value": <connector-id> }
18 }
19 ]
20}

Para criar a regra com a API, envie uma requisição POST às regras da fase de requisição da sua aplicação. Substitua <application-id> pelo ID da sua aplicação:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/applications/<application-id>/request_rules \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data @rule.json

A API responde 202 com "state": "pending", e a resposta retorna a regra armazenada com o id e a order dela. A regra está ativa na sua aplicação e envia as requisições para /hello.txt ao connector de assinatura.

Para criar a regra no Azion Console:

Abra a aplicação

Acesse Azion Console > Applications e selecione a sua aplicação.

Selecione a aba Rules Engine
Selecione + Rule
Nomeie a regra

Em General, informe send-object-to-bucket como Name.

Selecione a fase de requisição

Em Phase, selecione Request Phase.

Defina o critério

Em Criteria, selecione a variável ${uri} e o operador starts_with, e informe /hello.txt como argumento.

Selecione o behavior Set Connector

Em Behaviors, selecione Set Connector.

Selecione o connector de assinatura

Em Connector, selecione my-bucket-connector.

Selecione Save

A regra aparece na aba Rules Engine, sob o título Request.

Verifique a requisição assinada

A verificação é a mesma em qualquer interface que você usou. Um novo connector e uma nova regra levam vários minutos para chegar à infraestrutura distribuída da Azion, e os data centers os aplicam em momentos diferentes. Até lá, uma requisição ainda pode chegar ao connector de outra regra. Repita a requisição até que o endpoint responda. Para mais informações, consulte Propagação.

Solicite o objeto pelo seu workload. Substitua <workload-domain> pelo workload domain ou pelo seu próprio domínio:

curl -s -D - https://<workload-domain>/hello.txt

O endpoint responde 200 com o conteúdo do objeto. Estes headers identificam o endpoint de storage como a origem da resposta:

Texto
01HTTP/2 200
02…
03content-type: text/plain
04…
05server: azion webserver
06x-amz-request-id: …
07…

Para comparar, solicite o mesmo objeto diretamente ao endpoint, sem assinatura:

curl -s -D - https://s3.us-east-005.azionstorage.net/<bucket-name>/hello.txt

O endpoint recusa a requisição sem assinatura com 401, não 403:

Texto
01HTTP/1.1 401
02Server: azion webserver
03…
04<Error>
05 <Code>UnauthorizedAccess</Code>
06 <Message>bucket is not authorized: <bucket-name></Message>
07</Error>

O workload retorna o mesmo 401 quando HMAC está desativado no connector. O connector assina cada requisição ao bucket privado, e o seu workload serve o objeto. Para as correções, consulte O endpoint de storage retorna 401 UnauthorizedAccess.

Próximos passos

Origin IP ACL e HMACComo Origin Shield protege a origem com uma allowlist dos endereços da Azion e com assinatura HMAC.Configurações de connectorCada campo de Origin Shield e de HMAC, o nome dele na API, o padrão e os limites.Defina o Host header e o path prefix de uma origemEscolha o header Host que um connector envia e o caminho que ele adiciona na frente de cada requisição.Solucionar problemas de ConnectorsCorrija um connector cuja origem recusa requisições ou responde com um erro.