AWS認証情報プロバイダーからセキュリティトークンを取得する

AWS SDKはSdkHttpClient、同期または非同期の両方でAmazonサービスと対話するために使用できるいくつかの実装を提供します。

たとえば、ApacheHttpClientクラスを使用できます。

このHTTPクライアントはすべて、Builders、ApacheHttpClient.Builderforで作成および構成されますApacheHttpClient。

ApacheHttpClient.Builder クライアント側、リモートピア、または相互認証用の安全なHTTP接続を構成できるメソッドを提供します。

クライアントを認証する必要がある場合は、呼び出しの引数--certと--key引数に対応して、その目的で使用する必要のある証明書と秘密鍵を提供する必要がありますcurl。

通常、この証明書と秘密鍵はKeyStore、保護された1つのパスワードで、通常はPKCS＃12形式（.p12または.pfxファイル）で保存されます。

この情報にはApacheHttpClient.Builder、2つの方法でアクセスできます。

まず、一連のSystemプロパティを設定します。

import static software.amazon.awssdk.utils.JavaSystemSetting.SSL_KEY_STORE;
import static software.amazon.awssdk.utils.JavaSystemSetting.SSL_KEY_STORE_PASSWORD;
import static software.amazon.awssdk.utils.JavaSystemSetting.SSL_KEY_STORE_TYPE;

//...

Path clientKeyStore = Paths.get(...);

System.setProperty(SSL_KEY_STORE.property(), clientKeyStore.toAbsolutePath().toString());
System.setProperty(SSL_KEY_STORE_TYPE.property(), "pkcs12");
System.setProperty(SSL_KEY_STORE_PASSWORD.property(), "password");

注：static輸入は標準のための唯一の定数であるJSSEの性質javax.net.ssl.keyStore、javax.net.ssl.keyStorePasswordとjavax.net.ssl.keyStoreType。

第二に、TlsKeyManagersProviderのtlsKeyManagersProviderメソッドに実装を提供することによってApacheHttpClient.Builder。例えば：

Path clientKeyStore = ...
TlsKeyManagersProvider keyManagersProvider = FileStoreTlsKeyManagersProvider.create(clientKeyStore, "pkcs12", "password");

実際、内部では、上記のSystemプロパティベースの構成がSystemPropertyTlsKeyManagersProvider別のTlsKeyManagersProvider実装で使用されています。

サーバーを認証する必要がある場合は、2つのオプションもあります。

まず、もう一度、いくつかのSystemプロパティを設定します。

Path serverKeyStore = Paths.get(...);
System.setProperty("javax.net.ssl.trustStore", serverKeyStore.toAbsolutePath().toString());
System.setProperty("javax.net.ssl.trustStorePassword", "password");
System.setProperty("javax.net.ssl.trustStoreType", "jks");

ご覧のとおり、簡単にするために、今回は別の種類のKeyStore、を使用していjksます。あなたは、このようなAを構築することができKeyStore、あなたのAWSサーバ証明書のPEMファイル（と関連するものから--cacert、あなたにcurlこのような何かを持つコマンド）：

Path pemPath = ...;
try(final InputStream is = Files.newInputStream(pemPath) {
  CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
  X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is);
  String alias = cert.getSubjectX500Principal().getName();
  KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
  keyStore.load(null);
  keyStore.setCertificateEntry(alias, cert);
}

相互認証の場合、同じものを再利用できますが、KeyStore2つを維持することをお勧めします。1つはクライアントの秘密鍵と証明書を使用し、もう1つは信頼するサーバー証明書（トラストストア）を使用します。

または、TrustManager使用する必要のあるを定義して、サーバー側の認証を構成することもできます。

このタスクのために、ApacheHttpClient.Builderはメソッドを提供しますtlsTrustManagersProvider。このメソッドには、TlsTrustManagersProviderインターフェイスの実装が必要です。

このインターフェイスは、SSL通信でリモートピアをチェックするために使用する必要がtrustManagersあるTrustManagersの配列を返す単一のメソッドを定義します。

残念ながら、AWS SDKはこのインターフェースの実装を提供していません。独自のインターフェースを実装する必要があります（さらに情報が必要な場合はお知らせください）。

初期化および構成が完了すると、またはメソッドをそれぞれ使用して、のようなカスタムサービスクライアントにこれSdkHttpClientまたはそのを提供できます。SdkHttpClient.BuilderIotClienthttpClienthttpClientBuilder

curlコマンドのようにTLS接続をテストする必要がある場合は、次のように試すことができます。

Path clientKeyStore = Paths.get(...);
System.setProperty("javax.net.ssl.keyStore", clientKeyStore.toAbsolutePath().toString());
System.setProperty("javax.net.ssl.keyStoreType", "pkcs12");
System.setProperty("javax.net.ssl.keyStorePassword", "password");

Path serverKeyStore = Paths.get(...);
System.setProperty("javax.net.ssl.trustStore", serverKeyStore.toAbsolutePath().toString());
System.setProperty("javax.net.ssl.trustStorePassword", "password");
System.setProperty("javax.net.ssl.trustStoreType", "jks");

SdkHttpClient client = ApacheHttpClient.builder().build();

SdkHttpRequest httpRequest = SdkHttpFullRequest.builder()
        .method(SdkHttpMethod.GET)
        .uri(new URI("https://<prefix>.credentials.iot.us-west-2.amazonaws.com/role-aliases/MyAlias/credentials"))
        .putHeader("x-amzn-iot-thingname", "myThingName")
        .build();

HttpExecuteRequest request = HttpExecuteRequest.builder()
        .request(httpRequest)
        .build();

HttpExecuteResponse response = client.prepareRequest(request).call();

AWS JavaSDKでこのテストを確認してください。これも役立つ場合があります。

最後に、プロジェクトで使用できる非同期HTTPクライアントもあります。これらのクライアントで安全なHTTP通信を構成する方法は、上記の段落で説明した方法と非常によく似ています。

これらのリソースはすべて、AWS Java SDK v2GitHubリポジトリにあります。

SDK全体をプロジェクトにインポートできます（Mavenを使用していると思います）。

<dependency>
  <groupId>software.amazon.awssdk</groupId>
  <artifactId>aws-sdk-java</artifactId>
  <version>2.15.7</version>
</dependency>

ただし、Apache HTTPクライアントをテストするために必要なのは、次の依存関係だけだと思います。

<dependency>
  <groupId>software.amazon.awssdk</groupId>
  <artifactId>apache-client</artifactId>
  <version>2.15.7</version>
</dependency>

AWS SDKによって提供されるコードに答えを集中しようとしましたが、必要であると理解したので、これらの一時的な認証情報を取得するには、ApacheHttpClientなどのAWSへの安全な接続を可能にする任意のメカニズムを使用することもできます。あなたの例では、OkHttpなどです。

これらの一時的な認証情報を使用して、AWSリクエストに署名し、AWSサービスで（想定されるIAMロールに従って）オペレーションを実行できます。たとえば、指定したブログの例に従って、DynamoDBテーブルにアイテムを挿入できます。

AwsSessionCredentials credentials = AwsSessionCredentials.create(
  "the_returned_access_key_id",
  "the_returned_secret_key_id",
  "the_returned_session_token"
);

DynamoDbClient ddb = DynamoDbClient.builder()
  .region(Region.US_EAST_1)
  .credentialsProvider(StaticCredentialsProvider.create(credentials))
  .build();

 HashMap<String,AttributeValue> itemValues = new HashMap<String,AttributeValue>();

itemValues.put("serial_number", AttributeValue.builder().s("123456789").build());
itemValues.put("timestamp", AttributeValue.builder().s("2017-11-20T06:00:00.000Z").build());
itemValues.put("current_temp", AttributeValue.builder().n("65").build());
itemValues.put("target_temp", AttributeValue.builder().n("70").build());
itemValues.put("humidity", AttributeValue.builder().n("45").build());

PutItemRequest request = PutItemRequest.builder()
  .tableName("MyHomeThermostat")
  .item(itemValues)
  .build();

try {
  ddb.putItem(request);
} catch (ResourceNotFoundException e) {
  //...
} catch (DynamoDbException e) {
  //...
} 

取得したトークンを更新する方法についての上記のコメントでのあなたの質問に関連して、私はあなたに答えを与えることができないことを認識しなければなりません。

私の意見では、上記の呼び出しによって返された一時的な認証情報は更新できないと思います。少なくともAWS SDKはそのためのメカニズムを提供していません。この認証情報プロバイダーは、IoT向けに設計された非常に特殊なユースケースです。あなたが引用したブログとAWSの公式ドキュメント。

AWS SDKはAWSCredentialsProvider、StsAssumeRoleCredentialsProviderまたはなどのトークン更新をサポートするさまざまStsGetSessionTokenCredentialsProviderなを提供しますが、このユースケースに固有のプロバイダーはありません。

何か助けがあれば、基本クラスのソースコードStsCredentialsProvider、特にセットアップCachedSupplierや関連するものに関連するコンストラクターのコードを確認できます。