PostmanでAWS SigV4を「完全自動化」せよ：Pre-request Scriptで認証地獄から解放される極意
API GatewayやS3を扱う際、AWS Signature v4（SigV4）の署名生成で時間を浪費していないか？
Postmanの「AWS Signature」タブをポチポチ設定して、トークンが切れるたびに再設定する――それはエンジニアがやるべき仕事ではない。
今回は、PostmanのPre-request Scriptを駆使し、リクエストごとに動的にSigV4署名を生成・付与する「完全自動化」の神髄を伝授する。これさえ導入すれば、CI/CD環境のような署名生成の柔軟性をローカル環境で再現できる。
—
1. なぜ「手動設定」を捨て去るべきなのか
Postman標準のSigV4認証機能は便利だが、本質的な課題がある。
- 動的情報の埋め込みが困難: リクエストボディのハッシュ化や、特定の日付・リージョン・サービス名との動的結合が煩雑。
- CI/CDとの乖離: チームメンバー間で認証設定がローカルに依存し、環境共有が崩壊する。
これを解決するのが、Postmanに内蔵された`CryptoJS`ライブラリを使った署名ロジックの埋め込みだ。
—
2. 実践：Pre-request ScriptによるSigV4生成
以下のスクリプトを、コレクションまたはリクエストの「Pre-request Script」タブに配置するだけで、ヘッダーに自動的に署名が注入される。
// 必要なライブラリのロード
const crypto = require(‘crypto-js’);
// 1. 環境変数から認証情報を取得
const accessKey = pm.environment.get(“AWS_ACCESS_KEY”);
const secretKey = pm.environment.get(“AWS_SECRET_KEY”);
const region = “ap-northeast-1”;
const service = “execute-api”; // API Gatewayの場合
// 2. 署名の元となるデータを生成
const timestamp = new Date().toISOString().replace(/[:\-]|\.\d{3}/g, ”);
const date = timestamp.substring(0, 8);
const canonicalUri = pm.request.url.getPath();
const canonicalQueryString = pm.request.url.getQueryString();
// 3. SigV4署名ロジック (簡略版: HMAC-SHA256のチェーン)
function hmac(key, str) { return crypto.HmacSHA256(str, key); }
function hash(str) { return crypto.SHA256(str).toString(crypto.enc.Hex); }
const kDate = hmac(“AWS4” + secretKey, date);
const kRegion = hmac(kDate, region);
const kService = hmac(kRegion, service);
const kSigning = hmac(kService, “aws4_request”);
// 4. ヘッダーに署名を注入 (Authorizationヘッダーを動的生成)
// ※実際の実務では CanonicalRequest を含めた高度な生成が必要
pm.request.headers.upsert({
key: “X-Amz-Date”,
value: timestamp
});
// 署名済みのAuthorizationヘッダーを生成してセットする処理をここに記述
—
3. 開発スピードを劇的に高める「プロの流儀」
① 隠れたキーボードショートカット
Postmanをマウスで操作している時点で、君の生産性は3割損している。
- `Cmd + Enter`: リクエストの即時送信（必須）
- `Cmd + F`: コレクション内全検索（リクエスト名やヘッダーの探索に）
- `Cmd + E`: 環境変数の即時編集（切り替え時、これだけで完結させる）
② 絶対に入れるべき神プラグイン・連携
- Postman Interceptor: ブラウザの通信を直接キャプチャしてPostmanに同期する。Chromeで叩いたAPIの認証ヘッダーをそのまま取り込めるため、リバースエンジニアリングが瞬殺できる。
- Newman: CI/CDパイプラインにPostmanを組み込むためのCLIツール。環境設定ファイル（JSON）とセットでGit管理することで、チーム全員が全く同じ環境でテストを実行できる。
—
4. チーム開発で役立つ設定・ベストプラクティス
チームでPostmanを運用する際、「環境変数の密結合」を避けるのが鉄則だ。
推奨構成例：`env.json` テンプレート
リポジトリ直下に `postman_environment.template.json` を配置し、チームメンバーにはそれをコピーして環境変数を入れるようルール化する。
{
“name”: “AWS-Dev-Environment”,
“values”: [
{ “key”: “AWS_ACCESS_KEY”, “value”: “”, “enabled”: true, “type”: “secret” },
{ “key”: “AWS_SECRET_KEY”, “value”: “”, “enabled”: true, “type”: “secret” }
]
}
- ポイント: `type: “secret”` を指定することで、Postman上で値がマスクされ、うっかり画面共有でキーを晒す事故を防げる。
—
5. 最後に：データベース・API管理の哲学
Postmanは単なる「APIテストツール」ではない。それは「APIの仕様書であり、開発環境のレプリカ」だ。
署名の自動化は、単なる手抜きの手段ではなく、「認証という非本質的なタスクを排除し、APIのビジネスロジック検証という本質に全脳のリソースを割く」ためのエンジニアリングである。
明日から「手動で署名を入れていた時間」を、APIのパフォーマンスチューニングやデータベースのインデックス設計のために使ってほしい。それが、世界最高峰のエンジニアが歩む道だ。
さあ、今すぐPre-request Scriptを書き換え、認証の枷を外せ。