Архитектурный и дизайнерский вопрос о загрузке фотографий с iPhone-приложения и S3

Ответ 1

Я уже обсуждал этот вопрос > AWS Identity and Access Management для создания временных, привилегии для каждого пользователя. Сервис отличный, но он все еще находится в бета-версии, и пока он не является частью мобильного SDK. У меня есть чувство, когда эта штука выпущена навсегда, вы сразу увидите ее на мобильном SDK.

До тех пор генерирует назначенные URL для ваших пользователей или прокси-сервера через ваш собственный сервер, как это предлагали другие. Назначенный URL-адрес позволит вашим пользователям временно GET или PUT на объект S3 в одном из ваших ковшей без фактического наличия ваших учетных данных (они хэшируются в подпись). Подробнее о здесь.

EDIT. Я применил правильное решение этой проблемы, используя бета-версию предварительного просмотра IAM. Это доступно на GitHub, и вы можете прочитать об этом здесь.

Ответ 2

Вы можете загружать прямо с вашего iPhone на S3 с помощью REST API и иметь ответственность за создание части заголовка Authorization, требующего секретного ключа. Таким образом, вы не рискуете подвергать ключ доступа всем, у кого есть взломанный iPhone, в то время как вы не ставите бремя загрузки файла на сервер. Точные данные запроса можно найти в разделе "Пример объекта PUT" в разделе "Подписание и проверка запросов REST" . я настоятельно рекомендую прочитать этот документ, прежде чем продолжить.

Следующий код, написанный на Python, генерирует часть значения заголовка Authorization, полученного из вашего секретного ключа S3. Вы должны заменить свой секретный ключ доступа и имя ведра в форме виртуального хоста для _S3_SECRET и _S3_BUCKET_NAME ниже, соответственно:

import base64
from datetime import datetime
import hmac
import sha

# Replace these values.
_S3_SECRET = "my-s3-secret"
_S3_BUCKET_NAME = "my-bucket-name"

def get_upload_header_values(content_type, filename): 
  now = datetime.utcnow()
  date_string = now.strftime("%a, %d %b %Y %H:%M:%S +0000")
  full_pathname = '/%s/%s' % (_S3_BUCKET_NAME, filename)
  string_to_sign = "PUT\n\n%s\n%s\n%s" % (
      content_type, date_string, full_pathname)
  h = hmac.new(_S3_SECRET, string_to_sign, sha)
  auth_string = base64.encodestring(h.digest()).strip()
  return (date_string, auth_string)

Вызов с именем файла foo.txt и типом контента text/plain дает:

>>> get_upload_header_values('text/plain', 'foo.txt')
('Wed, 06 Feb 2013 00:57:45 +0000', 'EUSj3g70aEsEqSyPT/GojZmY8eI=')

Обратите внимание, что если вы запустите этот код, время, которое будет возвращено, будет другим, и поэтому кодированный HMAC-дайджест будет отличаться.

Теперь клиент iPhone просто должен выдать запрос PUT на S3, используя возвращенную дату и дайджест HMAC. Предполагая, что

• сервер возвращает date_string и auth_string выше в некотором объекте JSON с именем serverJson
• Ваш ключ доступа S3 (а не ваш секрет, который находится только на сервере) называется kS3AccessKey
• Ваше имя байта S3 (установлено в my-bucket-name выше) называется kS3BucketName
• содержимое файла сортируется в объекте NSData с именем data
• имя файла, отправленного на сервер, представляет собой строку с именем filename
• тип контента, который был отправлен на сервер, представляет собой строку с именем contentType

Затем вы можете сделать следующее, чтобы создать NSURLRequest:

NSString *serverDate = [serverJson objectForKey:@"date"]
NSString *serverHmacDigest = [serverJson objectForKey:@"hmacDigest"]

// Create the headers.
NSMutableDictionary *headers = [[NSMutableDictionary alloc] init];
[headers setObject:contentType forKey:@"Content-Type"];
NSString *host = [NSString stringWithFormat:@"%@.s3.amazonaws.com", kS3BucketName]
[headers setObject:host forKey:@"Host"];
[headers setObject:serverDate forKey:@"Date"];
NSString *authorization = [NSString stringWithFormat:@"AWS %@:%@", kS3AccessKey, serverHmacDigest];
[headers setObject:authorization forKey:@"Authorization"];

// Create the request.
NSMutableURLRequest *request = [[NSMutableURLRequest alloc] init];
[request setAllHTTPHeaderFields:headers];
[request setHTTPBody:data];
[request setHTTPMethod:@"PUT"];
NSString *postUrl = [NSString stringWithFormat:@"http://%@.s3.amazonaws.com/%@", kS3BucketName, filename];
[request setURL:[NSURL URLWithString:postUrl]];

Затем вы можете отправить запрос. Если вы используете отличную библиотеку AFNetworking, вы можете обернуть request в объект AFXMLRequestOperation, используя XMLDocumentRequestOperationWithRequest:success:failure:, а затем вызывает его метод start. Не забудьте выпустить headers и request, когда это будет сделано.

Обратите внимание, что клиент получил значение заголовка Date с сервера. Это связано с тем, что, как описывает Amazon в "Требование времени печати" :

"Действительная метка времени (с использованием заголовка HTTP-даты или альтернативы даты x-amz) является обязательной для аутентифицированных запросов. Кроме того, временная метка клиента, включенная в аутентифицированный запрос, должна находиться в пределах 15 минут от Amazon S3, когда запрос получен. Если нет, запрос будет терпеть неудачу с кодом состояния ошибки RequestTimeTooSkewed."

Поэтому вместо того, чтобы полагаться на клиента, имеющего правильное время для успешного выполнения запроса, полагайтесь на сервер, который должен использовать NTP (и демона, например ntpd).

Ответ 3

Загрузите на свой сервер, а затем отправьте сообщение на S3. С точки зрения архитектуры вы захотите сделать это со своего сервера. Есть много вещей, которые могут пойти не так во время передачи данных, с которой вы можете справиться лучше на сервере, и если вы хотите хранить любые данные о изображении, отправляемом на S3, в любом случае, вероятно, у вас будет вызов на стороне сервера.

Кроме того, секретный ключ доступа хранится в более безопасной среде. Ваш собственный.

Если вас беспокоит масштабируемость, и вы собираетесь делать значительное количество передач S3, я бы рассмотрел возможность размещения вашего сервера и экземпляр EC2. Передача данных между ними бесплатна (если вы храните данные в следующих центрах обработки данных).

Плата за передачу данных не передается между Amazon EC2 и Amazon S3 в том же регионе или для данных, передаваемых между регионом Amazon EC2 в Северной Вирджинии и стандартным регионом США Amazon S3. Amazon Simple Storage Service (Amazon S3)

Есть много сообщений здесь о SO Amazon - EC2 стоимость? (пример) о плюсах и минусах использования EC2.

Ответ 4

Я запутался. Почему бы amazon придумать w/ios sdk для загрузки данных на s3, тогда скажите нам не использовать его (вложение учетных данных в исходный код проблематично для программного обеспечения, включая мобильные приложения, поскольку вредоносные пользователи могут декомпилировать программное обеспечение или просмотреть источник код для извлечения секретного ключа доступа)

Ответ 5

они могли бы предоставить sdk для этой цели, чтобы приложение могло разрешить аутентификацию для отдельных учетных записей s3? например, приложение, которое позволяет пользователям хранить файлы в своем собственном (пользовательском) ведро вместо поставщика? я чувствую недостаток безопасности при слиянии ключей с приложением и его распространении. любой может (неправильно) использовать их, как только ключи будут раскрыты в любом случае (его никогда не защищают, когда вы его выдаете). с другой стороны, сохранение функциональности, зарезервированной для сервера, будет держать ваши ключи прозрачными для пользователя, не так ли?