Python对接亚马逊电商平台SP-API的一些概念理解准备

❝

除了第三方服务商，其实亚马逊卖家本身也可以通过和SP-API的对接，利用程序来自动化亚马逊店铺销售运营管理中很多环节的工作，简单的应用比如可以利用SP-API的对接，实现亚马逊卖家后台各类报表的定期自动下载以及数据分析整理工作。数据跟踪分析对于亚马逊电商运营者来说，是一个非常重要，但相当繁琐费时费力的工作。而如果能够利用程序实现其中大部分工作的自动化，则可以大大解放其中需要的时间精力，达到事半功倍的效果。

❞

亚马逊电商平台对外开放的应用程序编程接口名字叫Amazon SP-API(selling partner API),在这之前,叫Marketplace Web Services，即MWS. 亚马逊卖家后台有个“销售伙伴应用商店”，里面有亚马逊批准的第三方应用程序，它们即是第三方利用亚马逊平台开放的API创建的，旨在帮助卖家更高效管理和发展业务的应用程序。

不过要成功实现SP-API的程序对接调用，在最开始的设置阶段，对于没有没有专业的编程学习基础的人来说，还是挺有挑战性的。下面即是我在开始的设置阶段，尝试对一些概念的梳理和理解。

SP-API调用凭证

本文的主要概念都是围绕如何获得调用SP-API的必需凭证而进行。需要的凭证包括：
refresh_token
lwa_app_id
lwa_client_secret
aws_access_key
aws_secret_key
role_arn

其中前面三个是在卖家后台开发者中心相关操作后获得，后面三个是在亚马逊AWS云服务的后台相关操作获得。

在调用SP-APT时，有多种方式可以将以上凭证传递进程序，其中下面是通过一个dic数据类型，将凭证直接以代码参数的形式传递进程序代码的示例。

credentials=dict(
        refresh_token='<refresh_token>',
        lwa_app_id='<lwa_app_id>',
        lwa_client_secret='<lwa_client_secret>',
        aws_secret_key='<aws_secret_access_key>',
        aws_access_key='<aws_access_key_id>',
        role_arn='<role_arn>',
    )

先说说AWS IAM

因为SP-API是通过亚马逊AWS云服务的的身份和访问管理框架（IAM）来来调用SP-API的。简单描述就是在AWS后台新建特定的IAM User用户和IAM Role角色，并同时为IAM User和IAM User绑定由SP-API限定的特定权限（policy），即IAM User Policy和IAM User policy.

所以整个过程需要分别在亚马逊卖家后台以及亚马逊AWS云服务操作后台进行操作。如果将整个过程划分为七个主要步骤的话，其中第一步和第七步是在卖家后台进行，中间五步是在亚马逊aws后台操作。

第一步：创建开发人员资料

在亚马逊后台的第一步操作的主要目标是创建开发人员资料并开通开发者中心。这一步基本上没有什么难度，尤其是如果只是作为自己店铺使用的私人应用开发，按照步骤指引填写相关资料等待亚马逊审核通过就可以了。有一点稍注意的是在SP-API Rolees选择时，将除受限角色外的角色都可以选上。

 

当开发人员资料审核通过，开发中心开通之后，第二步到第五步的操作将在AWS后台进行。

 

第二步准备好AWS帐号

如果我们还没有AWS帐号的话，需要提前注册一个免费帐号。

注册好帐号后，亚马逊aws操作后台登陆在以下链接 https://Aws.amazon.com/console

 

第三步 新建IAM User

然后第二步的操作是在aws操作后台打开IAM后台并新建一个IAM user用户。IAM后台链接如下：https://console.aws.amazon.com/iam

IAM的全称是Identity and access management,代表身份和访问管理。在AWS中，比如有IAM user, IAM group, IAM role等几种不同的身份，AWS通过在不同Identity上绑定不同的policy来限定不同身份对应的权限。

在这一步中，我们将新建IAM user.我们选用的凭证类型是“access key - Programmic access”

需要注意的是，此时我们注册的IAM user是没有权限的，因为我们还没有在上面绑定policy. 所以会有下面的提示.

当IAM User新建成功后，提示页面会有“Access key ID”和“secret access key”的两项信息，并提供CSV下载链接选项，它们就是文章前面提到的调用SP-API的凭证的其中两个。即aws_access_key和aws_secret_key。

 

第四步：给新建IAM User绑定policy

在建立好的IAM User后，我们将创建一个IAM policy来定义对SP-API的调用权限。

这一步是针对新建的“SellingPartner”这个IAM user进行policy的绑定。因为这是我们专门为调用SP-API而新建的user,它的policy也是和调用SP-API的要限相关。而这个权限是SP-API定义的，所以我们需要在此IAM user对应的policy选项下，将里面的jason文件替换成SP-API官方文档中定义的这部分policy.

 

 

第五步：新建IAM Role并绑定policy

SP-API的官方指导建议我们新建IAM Role，但是没有IAM Role也不是不能工作。IAM Role主要是用来验证对SP-API的调用（authenticate calls to SP-API）。IAM role与IAM user非常相似，因为它们都是具有权限策略（由policy来限定）的身份，决定该身份在AWS中可以做什么和不能做什么。不同的是，IAM role角色没有相关的凭证（密码或访问密钥），而是依靠一种临时安全凭证来访问AWS的方式。在新建IAM Role的过程中，会自动带到绑定policy的步骤，在这一步绑定前面IAM User新建的policy即可。这样IAM Role也获得调用SP-API的权限。

IAM ROLE

第六步：给IAM用户中添加AWS STS polity

AWS IAM设置的最后一步是向新建的IAM用户添加绑定AWS安全令牌服务，或STS策略。它在这里主要是一个AssumeRole policy，即允许IAM用户使用临时安全凭证来验证SP-API的请求。获得前面新建IAM Role的调用SP-API所需的权限。这些临时凭证由一个访问密钥ID、一个秘密访问密钥和一个安全令牌组成。

 

 

 

有关AWS ARN

ARN的全称是“Amazon Resource Names”，在AWS中它是一种文件命名惯例，用于识别亚马逊网络服务（AWS）公共云中的特定资源。ARN是AWS特有的，它帮助管理员在AWS产品和API调用中跟踪和使用AWS Items和policy。

通过它可以唯一地识别AWS资源。当我们需要在所有AWS中明确指定一个资源时，需要用到ARN，在我们前面新建IAM User，IAM Role以及分别绑定policy的时候，则IAM User，IAM Role和policy都对应一个ARN，在AWS后台可以查看项目对应的ARN信息. 在调用SP-API时，则需要提供IAM ARN信息，这时我们提供ARN ROLE的信息。所以这是调用SP-API在AWS端的第三个凭证role_arn

 

第七步：在卖家后台开发者中心新增client app

当在AWS端的设置完成之后，最后还要回到亚马逊卖家后台开发者中心进行一步设置操作，这一步主要是通过新增client app以及对app的授权来获得调用SP-API必需的LMA凭证信息，包括“client identifier”和“client secret”两项，LMA凭证相当于是登陆凭证。在点击“Authorize app”后，会生成一串很长的“Refresh Token”. 在这一步中，我们即可以获得调用SP-API的其它三个凭证，即refresh_token，lwa_app_id和lwa_client_secret，其中lwa_app_id和lwa_client_secret对应的是LMA凭证信息的“client identifier”和“client secret”两项。

说明一下的是，在新增client app的过程中，会有要求提供IAM ARN的部分，在这一步即可将我们在AWS IAM Role的相应页面，将其ARN信息复制到这里。