أبرز النقاط
- SigV4 يربط كل توقيع بمنطقة واحدة، مما يُجبر العميل على تحديد الوجهة قبل بناء الطلب
- SigV4a يستخدم التوقيع غير المتماثل ECDSA ليصبح صالحاً عبر مناطق متعددة
- الانتقال من SigV4 إلى SigV4a تغيير برمجي بسيط، لكن تنسيق الأنظمة المعتمدة هو التحدي الحقيقي
حتى وقت قريب، كانت كل جلسة عميل جديدة تتصل بخدمة AWS موزعة عالمياً تبدأ بطلب وظيفته الوحيدة هي معرفة أي منطقة AWS يجب التوثيق ضدها. استمر هذا الحل البديل لسنوات قبل إزالته — ولم يأتِ الدافع من مخاوف زمن الاستجابة، بل من سلسلة انقطاعات إقليمية كشفت هشاشة البنية القائمة.
ما المشكلة التي يحلها SigV4a تحديداً؟
بروتوكول SigV4 — المعتمد منذ 2014 لتوثيق طلبات AWS — يربط كل توقيع بخدمة ومنطقة محددة. المنطقة مُضمَّنة في نطاق الاعتماد أثناء التوقيع، مما يعني أن طلباً موقّعاً لمنطقة us-west-2 يُعدّ باطلاً تشفيرياً إذا وصل إلى eu-west-1. يفشل التحقق من التوقيع قبل معالجة الطلب أصلاً.
هذا القيد أوجد مفارقة معمارية: الفريق أراد أن تقرر البنية التحتية (خدمة DNS عبر Route 53) أي منطقة تخدم الطلب، لكن العميل كان مُجبراً على الالتزام بمنطقة قبل أن يتمكن حتى من بناء طلب صالح.
كيف كان الحل البديل يعمل؟
بنى الفريق خطوة اكتشاف منطقة مسبقة كحل بديل. العميل يستدعي أولاً نقطة نهاية DiscoverRegion خفيفة — غير موثّقة لأن مهمتها الوحيدة إرجاع اسم المنطقة — يتعلم أي منطقة هي الأقرب، يُخزّن النتيجة مؤقتاً، ثم يوقّع جميع الاستدعاءات اللاحقة لتلك المنطقة باستخدام SigV4.
أصبحت هذه البنية الإنتاجية وعملت جيداً لسنوات. لكن سلسلة أحداث في منطقة us-east-1 شملت انقطاعات شبكة (ديسمبر 2021)، Lambda (يونيو 2023)، وDynamoDB (أكتوبر 2025) أثرت مباشرة على الخدمة.
لماذا فشلت البنية أثناء الانقطاعات؟
لأن الخدمة اعتمدت على API Gateway وLambda وDynamoDB، لم يكن ممكناً تحويل حركة المرور بعيداً عن المنطقة المتأثرة رغم أن الخدمة كانت معمارياً عالمية. العملاء الذين أكملوا اكتشاف المنطقة ووقّعوا طلباتهم لـ us-east-1 كانوا مرتبطين تشفيرياً بها — توقيع SigV4 لـ us-east-1 باطل إذا أُعيد توجيهه إلى us-west-2.
المسار الوحيد للتعافي كان إعادة تشغيل تدفق الاكتشاف بالكامل. هذه الأحداث دفعت الفريق لإعادة هندسة الخدمة للمرونة الإقليمية في الربع الرابع من 2025.
ما الذي أظهرته قياسات الأداء؟
عند فحص تدفق الطلبات كجزء من إعادة التصميم العالمي، ظهر تأثير زمن الاستجابة بوضوح.
هذه التكلفة تُضاف لكل جلسة عميل جديدة دون أي قيمة وظيفية — وجودها فقط بسبب نموذج التوثيق وليس لأنها تضيف شيئاً للمستخدم.
كيف يختلف SigV4a عن SigV4 تقنياً؟
SigV4a — المتاح منذ الربع الثالث 2021 — يستخدم خوارزمية ECDSA (Elliptic Curve Digital Signature Algorithm) مع منحنى P-256 بدلاً من HMAC-SHA256 المستخدم في SigV4. هذا النهج غير المتماثل يعني أن خدمات AWS يمكنها التحقق من التوقيعات دون مشاركة المفاتيح السرية عبر المناطق.
- SigV4: توقيع متماثل مرتبط بمنطقة واحدة
- SigV4a: توقيع غير متماثل صالح عبر مجموعة مناطق
- البنية التحتية — وليس العميل — تتخذ قرارات التوجيه
الاستخدامات الرئيسية تشمل S3 Multi-Region Access Points (أُطلقت 2021)، وGlobal Accelerator، ونشر API Gateway متعدد المناطق.
متى تعرف أن SigV4a سيفيد نظامك؟
الإشارة الأوضح هي إذا كان العملاء يُشغّلون خطوة مسبقة هدفها الوحيد معرفة أي منطقة يوقّعون لها. هذه الخطوة موجودة بسبب نموذج التوثيق فقط، وليس لأنها تضيف قيمة.
الانتقال من SigV4 إلى SigV4a تغيير كود صغير تقنياً، لكن تنسيق المُستدعين المعتمدين ليس كذلك. مشاكل النشر دائماً تقريباً مشاكل عمليات وليست خوارزمية.
ما الدرس الأوسع من هذه التجربة؟
النقطة الجوهرية ليست تقنية SigV4a بحد ذاتها، بل ضرورة مراجعة الحلول البديلة السحابية دورياً مقابل ما هو متاح الآن من أدوات وخدمات. ليس للبحث عن أخطاء، بل لأن القيود التي بررت بعض الحلول البديلة قد لا تكون موجودة بعد الآن.
رأي Logicity
هذه الحالة مثال كلاسيكي على الدين التقني غير المرئي: حل بديل يعمل جيداً حتى تكشف أزمة هشاشته. SigV4a متاح منذ 2021 لكن الفريق لم يصل إليه إلا بعد انقطاعات متعددة. للمقارنة، Azure يقدم Traffic Manager مع توجيه قائم على الأولوية دون ربط تشفيري بالمنطقة، وGoogle Cloud يستخدم Global Load Balancing مع Anycast. لكن حل AWS الآن منافس تماماً — والرسالة الأهم هي جدولة مراجعة معمارية سنوية للبنى الموزعة.
الأسئلة الشائعة
هل SigV4a يتطلب تغييرات كبيرة في الكود؟
التغيير البرمجي نفسه صغير، لكن التحدي في تنسيق جميع الأنظمة المعتمدة والتأكد من دعم AWS SDK المستخدم لـ AWS Common Runtime (CRT).
ما الخدمات التي تتطلب SigV4a حالياً؟
S3 Multi-Region Access Points هي الخدمة الرئيسية، بالإضافة إلى سيناريوهات API Gateway وGlobal Accelerator متعددة المناطق.
كم يوفر SigV4a من زمن الاستجابة؟
يُلغي خطوة اكتشاف المنطقة التي تكلف 75-100 مللي ثانية عند p90 للجلسات الجديدة، وقد تصل إلى 200 مللي ثانية في سيناريوهات عبر المناطق.
هل يمكن استخدام SigV4 وSigV4a معاً؟
نعم، يمكن النشر التدريجي مع دعم كلا البروتوكولين خلال فترة الانتقال، لكن يجب التنسيق مع جميع العملاء المعتمدين.
هل تحتاج مساعدة في التطبيق؟
إذا كنت تدير بنية AWS متعددة المناطق وتفكر في الانتقال إلى SigV4a، تواصل مع فريق Logicity للحصول على استشارة تقنية حول أفضل مسار للتنفيذ.
عمر حسن
كاتب تقني وابتكار
أُنتِج هذا المقال بمساعدة الذكاء الاصطناعي وراجعه فريق التحرير في لوجيسيتي. اعرف المزيد في سياسة التحرير.
