Object Storage Service:POST V1 signature

POST V1 署名が必要な場合

OSS への HTTP POST リクエストは、このトピックで POST V1 署名と呼ぶ V1 署名アルゴリズムをサポートしています。POST V1 署名を計算する前に、以下の条件と依存関係を確認してください。

• バケット ACL — 送信先バケットの ACL が公開読み取りまたは非公開の場合、PostObject リクエストには署名が必要です。

• フォームフィールド — OSSAccessKeyId、Signature、policy のフォームフィールドをグループとして指定します。フォームにこれら 3 つのフィールドのいずれかが存在する場合、他の 2 つも必須です。フィールドレベルの説明については、フォームフィールドをご参照ください。

• 署名の計算場所 — アプリケーションサーバーが署名を計算し、アップロードポリシーとともにクライアントに配信します。クライアントはこの情報を使用して PostObject リクエストを構築します。

• 認証情報 — 署名は AccessKey Secret から計算されます。OSSAccessKeyId フォームフィールドには、同じ AccessKey ペアの AccessKey ID が含まれます。

POST V1 署名の計算

アプリケーションサーバーで、次の 3 つのステップで POST V1 署名を計算します。

1. ポリシーを作成します。UTF-8 エンコードされたポリシーを作成します。ポリシーの構文と宣言できる条件については、ポリシーの構造をご参照ください。

2. 署名対象の文字列 (StringToSign) を構築します。ポリシーを Base64 エンコードします。結果の文字列が署名対象の文字列 (StringToSign) です。

3. 署名を計算します。AccessKey Secret を使用して署名対象の文字列に署名します。署名の計算式は Signature = base64(hmac-sha1(AccessKeySecret,base64(policy))) です。

次の図は、POST V1 署名の計算プロセスを示しています。

例：Java での POST V1 署名の計算

次の Java の例では、ポリシーの構造で説明されているポリシー例に対して、POST V1 署名の 3 つのステップを実行します。ステップ 3 では OSS Java SDK を呼び出し、署名対象の文字列に base64(hmac-sha1(AccessKeySecret,base64(policy))) の計算式を適用します。

import org.apache.commons.codec.binary.Base64;

public class Demo {
    public static void main(String[] args) {
        // このコード例を実行する前に、環境変数 OSS_ACCESS_KEY_SECRET が設定されていることを確認してください。
        String accessKeySecret =  System.getenv().get("OSS_ACCESS_KEY_SECRET");

        // ステップ 1：ポリシーを作成します。
        String policy = "{\n" +
                "  \"expiration\": \"2023-12-03T13:00:00.000Z\",\n" +
                "  \"conditions\": [\n" +
                "    {\"bucket\": \"examplebucket\"},\n" +
                "    [\"content-length-range\", 1, 10],\n" +
                "    [\"eq\", \"$success_action_status\", \"201\"],\n" +
                "    [\"starts-with\", \"$key\", \"user/eric/\"],\n" +
                "    [\"in\", \"$content-type\", [\"image/jpeg\", \"image/png\"]],\n" +
                "    [\"not-in\", \"$cache-control\", [\"no-cache\"]]\n" +
                "  ]\n" +
                "}";

        // ステップ 2：署名対象の文字列 (StringToSign) を構築します。
        String stringToSign = new String(Base64.encodeBase64(policy.getBytes()));

        // ステップ 3：署名を計算します。
        String signature = com.aliyun.oss.common.auth.ServiceSignature.create().computeSignature(accessKeySecret, stringToSign);
        System.out.println("signature:" + signature);
    }
}

署名は次の形式で出力されます。出力される値は、ご使用の AccessKey Secret とポリシーの正確なバイト列に依存する Base64 エンコードされた文字列であるため、実際の出力は次のサンプルとは異なります。

signature:****

計算された値を、OSSAccessKeyId および policy フォームフィールドとともに、PostObject リクエストの Signature フォームフィールドで送信します。

フォームフィールド

次のフォーム要素は、POST V1 署名に固有のものです。その他の一般的なフォーム要素については、PostObject フォーム要素をご参照ください。これらのフィールドが必須となる条件については、POST V1 署名が必要な場合をご参照ください。

ポリシーの構造

policy フォームフィールドは、HTML フォームを介して OSS にオブジェクトをアップロードするための権限と制約を定義するセキュリティポリシーです。ポリシーは JSON 形式で定義され、許可されるバケット名、オブジェクトのプレフィックス、有効期限、許可される HTTP メソッド、コンテンツサイズの制限、コンテンツタイプの制限など、複数のパラメーターを通じてアップロード操作を制限します。

次の例に示すように、ポリシーには expiration と conditions フィールドを含める必要があります。

{
  "expiration": "2023-12-03T13:00:00.000Z",
  "conditions": [
    {"bucket": "examplebucket"},
    ["content-length-range", 1, 10],
    ["eq", "$success_action_status", "201"],
    ["starts-with", "$key", "user/eric/"],
    ["in", "$content-type", ["image/jpeg", "image/png"]],
    ["not-in", "$cache-control", ["no-cache"]]
  ]
}

ポリシーには次の要素が含まれます。

• expiration — ポリシーの有効期限を ISO 8601 GMT 形式で指定します。たとえば、2023-12-03T13:00:00.000Z は、POST リクエストが 2023 年 12 月 3 日の 13:00 (GMT) までに開始されなければならないことを意味します。

• conditions — POST リクエストのフォームフィールドの有効な値を指定します。

次の表に、conditions で宣言できるフィールドを示します。