Chiavi HMAC

Questa pagina illustra le chiavi HMAC (Hash-based Message Authentication Code), che puoi utilizzare per autenticare le richieste all'API XML di Cloud Storage. Le chiavi HMAC sono utili quando vuoi spostare dati tra altri provider di spazio di archiviazione sul cloud e Cloud Storage, perché ti consentono di riutilizzare il codice esistente per accedere a Cloud Storage.

Per i passaggi per creare e gestire le chiavi HMAC, consulta Gestisci le chiavi HMAC per i service account.

Panoramica

Una chiave HMAC è un tipo di credenziale associata a un account, in genere un account di servizio. Utilizza una chiave HMAC per creare firme utilizzando l'algoritmo di firma HMAC-SHA256. Le firme create vengono poi incluse nelle richieste all'API XML di Cloud Storage. Le firme mostrano che una determinata richiesta è autorizzata dall'account associato alla chiave HMAC.

Le chiavi HMAC sono costituite da due parti principali: un ID di accesso e un secret.

  • ID di accesso: una stringa alfanumerica collegata a un account specifico.

    • Se collegata a un account di servizio, la stringa è lunga 61 caratteri.

    Di seguito è riportato un esempio di ID di accesso:

    GOOGTS7C7FUP3AIRVJTE2BCDKINBTES3HC2GY5CBFJDCQ2SYHV6A6XXVTJFSA

  • Secret: una stringa con codifica Base64 di 40 caratteri collegata a un ID di accesso specifico. Un secret è una chiave precondivisa nota solo a te e a Cloud Storage. Utilizzi il secret per creare firme nell'ambito del processo di autenticazione. Di seguito è riportato un esempio di secret:

    bGoa+V7g/yqDXvKRqq+JTFn4uQZbPiQJo4pf9RzJ

Sia l'ID di accesso che il secret identificano in modo univoco una chiave HMAC, ma il secret è un'informazione molto più sensibile, perché viene utilizzato per creare firme.

Facoltativamente, puoi attivare il vincolo restrictAuthTypes su una risorsa, che limita l'accesso per le richieste firmate da chiavi HMAC.

Archiviare i secret

Quando crei una chiave HMAC per un service account, ricevi il secret per la chiave una sola volta. Devi archiviare in modo sicuro il secret, insieme all'ID di accesso associato. Se perdi il secret, non potrai recuperarlo né tu né Cloud de Confiance by S3NSe dovrai creare una nuova chiave HMAC per il account di servizio per continuare ad autenticare le richieste.

Best practice per l'archiviazione dei secret

  • Non condividere il secret della chiave HMAC. I secret delle chiavi HMAC devono essere trattati come qualsiasi altro insieme di credenziali di accesso.

  • Come best practice per la sicurezza, devi cambiare regolarmente le chiavi nell'ambito di una rotazione della chiave.

  • Se ritieni che un altro utente stia utilizzando le tue chiavi HMAC, devi eliminare immediatamente le chiavi HMAC interessate e crearne di nuove.

  • Quando modifichi le chiavi HMAC, devi aggiornare il codice con le nuove chiavi HMAC prima di eliminare quelle precedenti. Quando elimini le chiavi HMAC, queste diventano immediatamente non valide e non sono recuperabili.

Limitazioni

  • Le chiavi HMAC possono essere utilizzate solo per effettuare richieste all'API XML, non all'API JSON.

  • Puoi avere un massimo di 10 chiavi HMAC per account di servizio. Le chiavi eliminate non vengono conteggiate ai fini di questo limite.

  • Dopo la creazione, possono essere necessari fino a 60 secondi prima che una chiave HMAC del account di servizio diventi utilizzabile. Dopo aver eliminato un account di servizio, le chiavi HMAC che gli appartengono potrebbero continuare a funzionare per un massimo di 5 minuti. Al contrario, possono essere necessari fino a 5 minuti prima che le chiavi HMAC diventino nuovamente utilizzabili dopo l'annullamento dell'eliminazione del account di servizio proprietario.

  • Se attivi il vincolo restrictAuthTypes su una risorsa, non puoi più creare o attivare chiavi HMAC per il tipo di account specificato in quella risorsa.

Passaggi successivi