在設計全球分佈的雲端服務時，我們經常希望利用 DNS 延遲路由（Latency-based Routing）讓使用者自動連線到最近的資料中心。然而，許多工程師在實作 AWS IAM 認證時，會遇到一個隱藏的技術瓶頸：認證簽名與區域（Region）的強綁定關係。本文將分享如何透過遷移至 SigV4a，消除為了滿足認證需求而額外增加的網路往返（Round Trip），提升系統的可用性與效能。
認證模型導致的架構妥協
在 AWS 的標準認證機制 SigV4（Signature Version 4）中，每個 API 請求的簽名都必須包含特定的服務名稱與區域。這意味著如果你為 us-west-2（俄勒岡州）簽名的請求被路由到了 eu-west-1（愛爾蘭），AWS 伺服器在驗證簽名階段就會直接判定失效並回傳錯誤。
這種設計造成了一個矛盾：我們希望由基礎設施（如 Route 53）根據網路狀況決定請求去哪裡，但客戶端在發出請求前，必須先決定好目標區域才能完成簽名。
為了繞過這個限制，許多團隊會實作一個預檢（Pre-flight）機制。客戶端在正式請求前，會先呼叫一個不需認證的 DiscoverRegion 接口，詢問目前哪個區域最適合連線，拿到區域名稱後再快取起來，接著才用該區域簽名發送正式請求。
這種做法雖然可行，但帶來了三個實務問題。首先是延遲增加，每次新會話都要多跑一次往返，根據地理位置不同，這可能增加 100ms 甚至 1 秒的延遲。其次是狀態管理複雜，客戶端必須維護區域快取與失效邏輯。最後是故障轉移困難，當某個區域發生故障時，即便基礎設施將流量切走，但客戶端快取的簽名區域依然不對，導致請求持續失敗，必須強制清除快取重新預檢。
解決方案：SigV4a 的非對稱簽名
為了解決上述問題，AWS 推出了 SigV4a（Asymmetric Signature Version 4）。它與 SigV4 的核心差異在於簽名的範圍（Scope）從單一區域擴展到了區域集（Region Set）。
技術原理上，SigV4 使用的是 HMAC-SHA256 對稱加密，而 SigV4a 則採用了 ECDSA-P256 非對稱橢圓曲線簽名算法。這種非對稱模型允許服務端在不要求請求必須由特定區域產生前提下，驗證該請求是否屬於允許的區域集。
實作 SigV4a 後，客戶端不再需要預先知道目標區域。開發者只需在簽名時宣告一個區域列表（例如 us-west-2 和 eu-west-1），或者使用萬用字元（如 us-west-*）。請求發送到全球進入點後，由 Route 53 或 Global Accelerator 決定最終由哪個健康的區域處理，而該請求在整個區域集內都是加密有效的。
遷移過程中的實務挑戰
從技術層面看，將 SigV4 改為 SigV4a 的程式碼變動非常小，僅僅是將單一區域字串改為區域列表。但對於大型系統，真正的挑戰在於部署過程與協調成本。
建議的遷移路徑是採取並行部署。建立一個新的 SigV4a 兼容端點，讓舊版客戶端繼續使用 SigV4 流程，而新版客戶端則直接使用 SigV4a 走全球端點。在遷移期間，需要重點關注以下三點：
第一是網路白名單。許多企業環境會限制允許訪問的網域名稱，更換端點域名時必須同步更新防火牆設定。 第二是自定義實作。並非所有團隊都使用標準 SDK，部分自定義簽名邏輯的團隊需要手動更新。 第三是 SDK 版本依賴。部分舊系統可能因為依賴過舊，無法直接升級到支持 SigV4a 的版本，需要先進行基礎重構。
如何判斷是否需要遷移
SigV4a 並非在所有場景下都是最佳選擇。它主要解決的是目標區域在簽名時未知且需要動態路由的問題。
在以下情況請繼續使用 SigV4： 服務僅部署在單一區域，或客戶端目標區域固定。 受限於法規或數據駐留（Data Residency）要求，請求必須被強制限制在特定區域內。 所使用的 AWS 服務或 API 類型不支援 SigV4a（例如 HTTP API 不支援，S3 僅在 Multi-Region Access Points 支援）。
在以下情況建議考慮 SigV4a： 客戶端目前必須執行預檢步驟來決定簽名區域。 系統需要實現跨區域的低延遲路由或主從故障轉移（Active-Passive Failover）。 希望簡化客戶端邏輯，移除區域快取的管理負擔。
總結
當你的系統中出現一個僅僅為了滿足認證需求而存在的預檢步驟時，這就是一個強烈的信號：你的認證模型正在阻礙基礎設施的效能。透過 SigV4a，我們可以將路由決定權交還給基礎設施，從而消除不必要的網路往返，提升系統的韌性。
來源：infoq.com (Removing a Hidden Round Trip from a Multi-Region AWS API)
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。