requests-aws4auth-redux 0.40

特性

• 为所有支持AWS身份验证v4的AWS服务提供Requests身份验证

• 独立的签名密钥对象

• 当作用域日期边界通过时自动生成密钥

• 支持STS临时凭证

实现基于头的身份验证，不支持GET URL参数和POST参数身份验证。

支持的服务

此软件包已测试可与之协同工作

AppStream、Auto-Scaling、CloudFormation、CloudFront、CloudHSM、CloudSearch、CloudTrail、CloudWatch Monitoring、CloudWatch Logs、CodeDeploy、Cognito Identity、Cognito Sync、Config、DataPipeline、Direct Connect、DynamoDB、Elastic Beanstalk、ElastiCache、EC2、EC2 Container Service、Elastic Load Balancing、Elastic MapReduce、ElasticSearch、Elastic Transcoder、Glacier、身份和访问管理（IAM）、密钥管理服务（KMS）、Kinesis、Lambda、Opsworks、Redshift、关系数据库服务（RDS）、Route 53、简单存储服务（S3）、简单通知服务（SNS）、简单队列服务（SQS）、存储网关、安全令牌服务（STS）

以下服务不支持AWS身份验证版本4，且不能与此软件包一起使用

简单电子邮件服务（SES），简单工作流服务（SWF），导入/导出，简单数据库（SimpleDB），DevPay，Mechanical Turk

AWS支持API尚未测试，因为它需要高级订阅。

安装

通过pip安装

$ pip install requests-aws4auth

requests-aws4auth需要Kenneth Reitz的Requests库。

requests-aws4auth已在Python 2.7和3.3及更高版本上进行了测试。

0.8版本中的行为变化

版本0.8引入了默认的请求日期检查和自动密钥再生行为。这将对线程间共享身份验证对象以及密钥存储产生影响。请参阅以下相关部分以获取详细信息。请参阅GitHub问题#10中的讨论。

基本用法

>>> import requests
>>> from requests_aws4auth import AWS4Auth
>>> endpoint = 'http://s3-eu-west-1.amazonaws.com'
>>> auth = AWS4Auth('<ACCESS ID>', '<ACCESS KEY>', 'eu-west-1', 's3')
>>> response = requests.get(endpoint, auth=auth)
>>> response.text
<?xml version="1.0" encoding="UTF-8"?>
    <ListAllMyBucketsResult xmlns="http://s3.amazonaws.com/doc/2006-03-01">
        <Owner>
        <ID>bcaf1ffd86f461ca5fb16fd081034f</ID>
        <DisplayName>webfile</DisplayName>
        ...

此示例将列出Amazon S3服务的eu-west-1区域的存储桶。

STS临时凭证

>>> from requests_aws4auth import AWS4Auth
>>> auth = AWS4Auth('<ACCESS ID>', '<ACCESS KEY>', 'eu-west-1', 's3',
                    session_token='<SESSION TOKEN>')
...

此示例展示了如何为使用STS临时凭证构造AWS4Auth对象。将带有会话令牌的x-amz-security-token头添加。临时凭证的超时时间不受管理 - 如果临时凭证过期，需要重新生成凭证并使用新的凭证重新构造AWS4Auth对象。

日期处理

如果需要认证的HTTP请求包含Date或X-Amz-Date头，AWS将只接受在头中的日期与签名密钥的作用域日期匹配的授权请求（请参阅AWS REST API日期文档）。

从requests-aws4auth的0.8版本开始，如果头日期与作用域日期不匹配，AWS4Auth实例将自动重新生成其签名密钥，使用与上一个密钥相同的范围参数，除了日期，将更改为与请求日期匹配。如果请求不包含日期，则将当前日期添加到请求的X-Amz-Date头中，如果这与作用域日期不同，则重新生成签名密钥。

这意味着AWS4Auth现在从X-Amz-Date和Date头的值中提取和解析日期。支持的日期格式有

• RFC 7231（例如，Mon, 09 Sep 2011 23:36:00 GMT）

• RFC 850（例如，Sunday, 06-Nov-94 08:49:37 GMT）

• C时间（例如，Wed Dec 4 00:00:00 2002）

• Amz-Date格式（例如，20090325T010101Z）

• ISO 8601 / RFC 3339（例如，2009-03-25T10:11:12.13-01:00）

如果任一头部存在，但AWS4Auth无法提取日期，因为所有现有的日期头都在不可识别的格式中，AWS4Auth将删除任何现有的X-Amz-Date和Date头，并替换为包含当前日期的单个X-Amz-Date头。可以通过使用AWS4Auth构造函数的raise_invalid_date关键字参数来修改此行为。

自动密钥再生

如果您不希望遇到请求日期与作用域日期不匹配时自动重新生成签名密钥，请使用替代的StrictAWS4Auth类，该类与AWS4Auth相同，只是在遇到日期不匹配时会引发DateMismatchError。您还可以使用PassiveAWS4Auth类，该类模仿了0.8版本之前的AWS4Auth行为，无论日期是否匹配，都会签名并发送请求。在这种情况下，由调用代码处理由日期不匹配引起的AWS认证失败响应。

密钥存储

为了允许自动密钥再生，密钥被存储在AWS4Auth实例的签名密钥对象中。如果您不希望发生这种情况，请使用带有store_secret_key参数设置为False的AWS4Signing密钥来实例化该实例。

>>> sig_key = AWS4SigningKey(secret_key, region, service, date, False)
>>> auth = StrictAWS4Auth(access_id, sig_key)

然后，当AWS4Auth类尝试再生其密钥时，将引发一个NoSecretKeyError。处理此情况的稍微更概念上优雅的方法是使用替代的StrictAWS4Auth类，再次使用带有store_secret_key = False的AWS4SigningKey实例来实例化它。

多线程

如果您在多个线程之间共享AWS4Auth（甚至StrictAWS4Auth）实例，您可能会遇到问题。因为AWS4Auth实例可能在签名请求的过程中不可预测地再生其签名密钥，因此使用同一实例的线程可能会在签名过程中中途发现密钥被另一个线程更改，这可能会导致未定义的行为。

可能可以通过使用锁定原语和StrictAWS4Auth类来构建一个可工作的实例共享机制，然而，这个糟糕的作者无法想到一个既安全又不会在某些时候至少阻止所有线程在HTTP请求持续时间内运行的场景。如果连续收到多个请求，所有这些请求都需要密钥再生，则系统可能被迫长时间串行操作。

简而言之，最好为每个需要进行身份验证的线程创建一个线程本地的AWS4Auth实例。

API参考

请参阅aws4auth.py和aws4signingkey.py中的doctrings。

测试

测试文件夹中包含了一个测试套件。

该包通过了AWS身份验证v4 测试套件中的所有测试，并包含了对受支持实时服务的测试。有关运行测试的详细信息，请参阅test/requests_aws4auth_test.py中的doctrings。

测试中包含了AWS支持API的连接参数，如果您有权访问并想尝试它。文档说明它支持auth v4，因此如果您有订阅，它应该可以正常工作。请传递您的结果！

不受支持的AWS功能/待办事项

• 目前不支持Amazon S3分块上传

• 对新AWS服务的测试

• 即使只使用AWS4SigningKey，也需要存在Requests库

• 连贯的文档

发布历史