View a markdown version of this page

Aktivieren Sie Mutual Origin TLS für Distributionen CloudFront - Amazon CloudFront
Voraussetzungen und AnforderungenAktivieren Sie die ursprünglichen mTLsVerwenden AWS CLINächste Schritte

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktivieren Sie Mutual Origin TLS für Distributionen CloudFront

Nachdem Sie ein Client-Zertifikat über AWS Certificate Manager erhalten und Ihren Ursprungsserver so konfiguriert haben, dass gegenseitiges TLS erforderlich ist, können Sie Origin-mTLS in Ihrer CloudFront Distribution aktivieren.

Voraussetzungen und Anforderungen

Bevor Sie Origin-mTLs für eine CloudFront Distribution aktivieren, stellen Sie sicher, dass Sie über Folgendes verfügen:

  • Ein Client-Zertifikat, das im AWS Certificate Manager in der Region USA Ost (Nord-Virginia) (us-east-1) gespeichert ist

  • Ursprungsserver, die so konfiguriert sind, dass sie eine gegenseitige TLS-Authentifizierung erfordern und Client-Zertifikate validieren

  • Ursprungsserver, die Zertifikate von öffentlich vertrauenswürdigen Zertifizierungsstellen vorlegen

  • Berechtigungen zum Ändern von CloudFront Distributionen

  • Origin mTLS ist nur in den Tarifen Business, Premium oder Pay as you go verfügbar.

Anmerkung

Origin-mTLs können für benutzerdefinierte Ursprünge (einschließlich außerhalb gehosteter Ursprünge AWS) und für AWS Ursprünge konfiguriert werden, die gegenseitiges TLS unterstützen, wie Application Load Balancer und API Gateway.

Wichtig

Die folgenden CloudFront Funktionen werden mit Origin-mTLs nicht unterstützt:

  • gRPC-Verkehr: Das gRPC-Protokoll wird für Ursprünge mit aktiviertem Origin-mTLS nicht unterstützt

  • WebSocket Verbindungen: Das WebSocket Protokoll wird für Ursprünge mit aktiviertem Origin-mTLS nicht unterstützt

  • VPC-Ursprünge: Ursprungs-MTLs können nicht mit VPC-Ursprüngen verwendet werden

  • Trigger für Origin-Request und Origin-Response mit Lambda @Edge: Lambda @Edge -Funktionen in den Positionen Origin Request und Origin Response werden mit Origin-mTLs nicht unterstützt

  • Eingebettete POPs: Origin-mTLS wird für eingebettete POPs nicht unterstützt

Aktivieren Sie die ursprünglichen mTLs

Per-origin Die Konfiguration ermöglicht es Ihnen, verschiedene Client-Zertifikate für verschiedene Ursprünge innerhalb derselben Distribution anzugeben. Dieser Ansatz bietet maximale Flexibilität, wenn für Ihre Ursprünge unterschiedliche Authentifizierungsanforderungen gelten.

Für neue Distributionen (Konsole)

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudFront Konsole unterhttps://console.aws.amazon.com/cloudfront/v4/home.

  2. Wählen Sie Distribution erstellen

  3. Wähle einen Preisplan: Wähle entweder Business oder Premium oder Pay As You Go (Origin mTLS ist im kostenlosen Tarif nicht verfügbar)

  4. Wähle im Abschnitt Origin-Einstellungen die Option Origin Type als Andere

  5. Wähle im Abschnitt Origin-Einstellungen die Option Origin-Einstellungen anpassen

  6. Konfiguriere deinen ersten Ursprung (Domainname, Protokoll usw.)

  7. Suchen Sie in der Originalkonfiguration nach mTLS

  8. Schalten Sie mTLS auf Ein

  9. Wählen Sie für das Client-Zertifikat Ihr Zertifikat im Certificate Manager aus AWS

  10. (Optional) Fügen Sie zusätzliche Ursprünge mit ihren eigenen mTLS-Ursprungskonfigurationen hinzu

  11. Vervollständigen Sie die verbleibenden Verteilungseinstellungen und wählen Sie Distribution erstellen

Für bestehende Distributionen (Konsole)

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudFront Konsole unterhttps://console.aws.amazon.com/cloudfront/v4/home.

  2. Wählen Sie aus der Verteilerliste die Distribution aus, die Sie ändern möchten. (Hinweis: Vergewissern Sie sich, dass für Ihre Distribution ein Pro-, Premium- oder Pay-As-You-Go-Preisplan gilt. Wenn nicht, müssen Sie Ihren Preisplan aktualisieren, bevor Sie Origin-mTLs aktivieren.)

  3. Wähle den Tab Origins

  4. Wählen Sie den Ursprung aus, den Sie konfigurieren möchten, und wählen Sie Bearbeiten

  5. Suchen Sie in den Ursprungseinstellungen nach mTLS

  6. Schalten Sie mTLS auf Ein

  7. Wählen Sie für das Client-Zertifikat Ihr Zertifikat im Certificate Manager aus AWS . (Hinweis: Es werden nur Client-Zertifikate aufgeführt, bei denen die EKU-Eigenschaft (Extended Key Usage) auf „TLS-Client-Authentifizierung“ gesetzt ist.)

  8. Wählen Sie Save Changes (Änderungen speichern)

  9. Wiederholen Sie diesen Vorgang bei Bedarf für weitere Ursprünge

Verwenden AWS CLI

Geben Sie für die Konfiguration pro Ursprung die ursprünglichen mTLS-Einstellungen in der Konfiguration jedes Ursprungs an:

{
  "Origins": {
    "Quantity": 2,
    "Items": [
      {
        "Id": "origin-1",
        "DomainName": "api.example.com",
        "CustomOriginConfig": {
          "HTTPSPort": 443,
          "OriginProtocolPolicy": "https-only"
        },
        "OriginMtlsConfig": {
          "ClientCertificateArn": "arn:aws:acm:us-east-1:123456789012:certificate/cert-1"
        }
      },
      {
        "Id": "origin-2",
        "DomainName": "backend.example.com",
        "CustomOriginConfig": {
          "HTTPSPort": 443,
          "OriginProtocolPolicy": "https-only"
        },
        "OriginMtlsConfig": {
          "CertificateArn": "arn:aws:acm:us-east-1:123456789012:certificate/cert-2"
        }
      }
    ]
  }
}
Anmerkung

CloudFront stellt das Client-Zertifikat nicht zur Verfügung, wenn der Server es nicht anfordert, sodass die Verbindung normal hergestellt werden kann.

Nächste Schritte

Nachdem Sie die ursprünglichen mTLs in Ihrer CloudFront Distribution aktiviert haben, können Sie Authentifizierungsereignisse mithilfe von CloudFront Zugriffsprotokollen überwachen.