Что не так делаю с подписью для Yandex Object Storage?

Question

[Станислав]

Не пойму в чем дело, выплевывает следующую ошибку

The request signature we calculated does not match the signature you provided. Check your key and signing method.

Функция для генерации подписи

sign(key, value) {
        return createHmac("sha256", key).update(value).digest("hex")
    }

const signature = this.sign(
            this.sign(
                this.sign(
                    this.sign("AWS4" + process.env.CLOUD_SECRET_KEY, YYYYMMDD),
                    "ru-central1"),
                "s3"),
            "aws4_request")

const storage = new URL(process.env.CLOUD_HOST)
        storage.pathname = path.join(process.env.CLOUD_BUCKET, href)
        storage.searchParams.set("X-Amz-Algorithm", "AWS4-HMAC-SHA256")
        storage.searchParams.set("X-Amz-Credential", `${process.env.CLOUD_ID_KEY}/${YYYYMMDD}/ru-central1/s3/aws4_request`)
        storage.searchParams.set("X-Amz-Date", toISOString)
        storage.searchParams.set("X-Amz-Expires", 3600)
        storage.searchParams.set("X-Amz-SignedHeaders", "host")
        storage.searchParams.set("X-Amz-Signature", signature)


        const response = await axios.get(storage)

Чем подпись не устраивает?

Comments

[szQocks]

перепроверь что у тебя в YYYYMMDD, возможно там без дополнительных нулей, день и месяц

[Станислав]

szQocks, YYYYMMDD = 20240304; toISOString = 20240304T204042Z

[Станислав]

szQocks, мне кажется у меня не правильно генерится подпись через crypto

[szQocks]

Станислав, там в доке есть пример с данными

sign(sign(sign(sign("AWS4" + "ExamP1eSecReTKeykdokKK38800","20190801"),"ru-central1"),"s3"),"aws4_request")

- тут данные возьми и посмотри получиться ли у тебя похожий хэш что и в документации

56bdf53a1f10c078c2b4fb5a26cefa670b3ea796567d85489135cf33********

- он тут не полный, но в целом хватит что бы понять верно ли всё работает у тебя там

[Станислав]

szQocks, нет, не правильный, но почему?

[szQocks]

Станислав, без понятия, нук попробуй crypto-js

const CryptoJS = require('crypto-js');
const Signature = CryptoJS.HmacSHA256('строка_для_сигнатуры', 'строка_секретный_ключ').toString(CryptoJS.enc.Hex);

только так же как в документации, получается 4 хэша надо запихать друг в друга

[Станислав]

szQocks, нифига не сходится. Я так понял там же надо с вложениями делать, как в примере, я вроде так и делаю, плюс пробовал значения с ключом местами менять, ну не сходится ни как. Плюс пробую цепочку без .toString(CryptoJS.enc.Hex), а в конце на выходе уже с .toString(CryptoJS.enc.Hex), тоже не попадаю. Ладно, понятно куда копать, я чего то пример в доках даже и не подумал, а теперь можно крутить вертеть пока не сойдется с примером =) Спасибо =)

[szQocks]

Станислав, а кажется я понял

тебе надо сначала сгенерировать строку через свою sign функцию



потом сгенерировать ключ



а после этого, эту строку, и этот ключ использовать для создания подписи, ппц

[Станислав]

szQocks, Не понял, че эт там еще генерить надо )) и через что генерить?))

[szQocks]

Станислав, да вот мне даже самому интересно, как это там запрос отправить, напридумывают чуши всякой ппц, вот дока, https://cloud.yandex.ru/ru/docs/storage/concepts/p...

сначала надо составить строку для подписи но её составить не получиться, так как нет канонической строки запроса, и того - сначала нужна каноническая строка запрос, а после этого нужно составить строку для подписи, после строки этой составить, ключ , и только потом уже из этой строки и ключа создать хэш

[Станислав]

szQocks, да я вот доку эту же и смотрю весь день и все не могу понять как и чего. Вроде генерирую то правильно, а у меня по итоге ключ не правильный. Я копировал ссылку вручную на файл в облаке, ссылка с моей генерацией отличается только сигнатурой которую я генерю. В общем я совсем тут запутался, завтра уже покручу, возможно и разберусь ))

[szQocks]

Станислав, попробуй сначала использовать данные из документации, тупо их данные копируй и пробуй, если всё получиться ( создать похожий хэш как в доке ) , то потом уже своё решение дописывай

[Станислав]

szQocks, в общем получилось ток с либой @aws-sdk/client-s3, с ней все запросы норм проходят. Буду ее использоваться, хотя можно глянуть как она генерирует подпись и скомуниздить код =)

Answer 1

[grv87]

С кодом проблем не вижу.
Недели 2 назад, в воскресенье, у меня была такая же проблема с Yandex Object Storage. К понедельнику проблема исчезла сама.
Предполагаю, что в выходные на сервисе проводятся какие-то работы (например, ротация ключей), и что ваша проблема — тоже была на стороне сервиса. Если будет повторяться — надо открывать запрос в поддержку