【脱・手動署名】PostmanでAWS IAM認証（SigV4）を完全自動化し、開発速度を限界まで引き上げる極意
API Gatewayの認証に「IAM Auth」を選択した瞬間、Postmanでのデバッグは苦行に変わる。毎回`aws-vault`経由で署名付きcurlを生成したり、拙いスクリプトで署名を捏造しては403 Forbiddenに泣かされる……そんな非効率な時代は今日で終わりだ。
本稿では、PostmanのPre-request Scriptを活用し、AWS SigV4署名を動的に生成して「IAM認証を空気のように扱う」ためのプロの構築術を伝授する。
—
1. PostmanでSigV4を攻略する：AWS4Interceptorの実装
PostmanのPre-request Scriptは、リクエスト送信直前に実行される強力なフックだ。ここに`aws4`ライブラリを組み込み、署名を動的生成する。
実装手順
1. ライブラリの注入: `aws4`をPostmanの変数（`pm.globals`）に埋め込む必要があるが、Postmanのサンドボックス環境は外部ライブラリを直接読み込めない。そのため、ビルド済みのJSコードを環境変数に保存しておくのが定石だ。
2. スクリプトの配置: Collectionの「Pre-request Script」に以下のコードを記述する。
// 署名生成ロジックの要点
const aws4 = pm.globals.get(“aws4_lib”); // 事前にライブラリソースをグローバル変数へ格納
const requestOptions = {
host: pm.request.url.getHost(),
path: pm.request.url.getPath(),
service: ‘execute-api’,
region: ‘ap-northeast-1’,
method: pm.request.method,
body: pm.request.body.toString(),
headers: { ‘Content-Type’: ‘application/json’ }
};
const credentials = {
accessKeyId: pm.environment.get(“AWS_ACCESS_KEY_ID”),
secretAccessKey: pm.environment.get(“AWS_SECRET_ACCESS_KEY”),
sessionToken: pm.environment.get(“AWS_SESSION_TOKEN”)
};
// 署名を作成し、リクエストヘッダーに注入
const signed = aws4.sign(requestOptions, credentials);
pm.request.headers.add({ key: ‘X-Amz-Date’, value: signed.headers[‘X-Amz-Date’] });
pm.request.headers.add({ key: ‘Authorization’, value: signed.headers[‘Authorization’] });
if (signed.headers[‘X-Amz-Security-Token’]) {
pm.request.headers.add({ key: ‘X-Amz-Security-Token’, value: signed.headers[‘X-Amz-Security-Token’] });
}
極意: セッション情報を`pm.environment`に保持させ、`aws-vault export`コマンド等で取得した一時クレデンシャルをコピー＆ペーストする運用が最も安全で高速だ。
—
2. 現場のテックリードが伝授する「Postman高速化」の極意
開発スピードを劇的に上げるキーボードショートカット
GUIをマウスでカチカチするのは、エンジニアにとって最もコストの高い作業だ。
- `Cmd + Enter`: リクエスト送信（これだけで生産性は3倍になる）。
- `Cmd + Shift + F`: 全コレクション内の検索。API設計の迷子を防ぐ。
- `Cmd + Alt + C`: Consoleを開く。403エラーの原因（署名不一致の詳細）はここを見るのが鉄則。
絶対入れるべき「神」設定
- Variable Autocomplete: 設定で「Variable Autocomplete」をオンにする。`{{` と打つだけで環境変数がサジェストされる。タイポによるデバッグ時間をゼロにできる。
—
3. チーム開発における「破綻しない」設定共有ルール
Postmanの設定が属人化すると、チームの生産性は急降下する。以下の構成を徹底せよ。
環境変数ファイル（JSON）のベストプラクティス
環境変数はGit管理すべきだ。機密情報は除外し、テンプレートを`postman_environment.template.json`としてコミットする。
{
“name”: “Project-Staging”,
“values”: [
{ “key”: “API_BASE_URL”, “value”: “https://xyz.execute-api.ap-northeast-1.amazonaws.com”, “enabled”: true },
{ “key”: “AWS_ACCESS_KEY_ID”, “value”: “”, “enabled”: true, “description”: “ローカル環境で入力” }
]
}
チームへの強制事項
1. Globalは使うな: 全員が混乱する。必ずEnvironmentを切り替えて管理すること。
2. Collectionの階層化: `[Resource] [Action]` という命名規則を徹底する（例：`Users Get`, `Users Create`）。
3. Pre-request Scriptの集約: スクリプトを各リクエストにコピペするのは最悪のアンチパターンだ。CollectionレベルのPre-request Scriptに集約し、リクエスト側は空にするのが正解。
—
最後に：なぜ「ツール」にこだわるのか
APIの署名処理を自動化し、Postmanを使いこなすことは、単なる「楽をするための手段」ではない。「認証という不要な障壁を排除し、ロジックの検証に脳のリソースを全振りする」ための環境構築だ。
Postmanは単なるHTTPクライアントではない。あなたの開発における「脳の拡張パーツ」である。今日からこの環境を構築し、他のエンジニアがAWS CLIやcurlとの格闘に時間を溶かしている間に、君は次のビジネス価値を生むコードを書こう。
それが、プロのエンジニアの流儀だ。