Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Vertrauensspeicher und Zertifikatsverwaltung

Das Erstellen und Konfigurieren eines Trust Stores ist eine zwingende Voraussetzung für die Implementierung der gegenseitigen TLS-Authentifizierung mit CloudFront. Trust Stores enthalten die Zertifikate der Zertifizierungsstelle (CA), die zur Validierung von Client-Zertifikaten während des Authentifizierungsprozesses CloudFront verwendet werden.

Was ist ein Trust Store?

Ein Trust Store ist ein Repository mit CA-Zertifikaten, das zur Validierung von Client-Zertifikaten bei der gegenseitigen TLS-Authentifizierung CloudFront verwendet wird. Trust Stores enthalten die Stamm- und Zwischenzertifikate der Zertifizierungsstelle, die die Vertrauenskette für die Authentifizierung von Client-Zertifikaten bilden.

Wenn Sie Mutual TLS mit implementieren CloudFront, definiert der Trust Store, welchen Zertifizierungsstellen Sie vertrauen, dass sie gültige Client-Zertifikate ausstellen. CloudFront validiert jedes Client-Zertifikat während des TLS-Handshakes anhand Ihres Vertrauensspeichers. Nur Clients, die Zertifikate vorlegen, die mit einem der Zertifikate CAs in Ihrem Trust Store verknüpft sind, werden erfolgreich authentifiziert.

Trust Stores in CloudFront sind Ressourcen auf Kontoebene, die Sie mehreren Distributionen zuordnen können. Auf diese Weise können Sie konsistente Richtlinien zur Zertifikatsvalidierung in Ihrer gesamten CloudFront Bereitstellung beibehalten und gleichzeitig die CA-Zertifikatsverwaltung vereinfachen.

Unterstützung durch Zertifizierungsstellen

CloudFront unterstützt Zertifikate, die sowohl von AWS privaten Zertifizierungsstellen als auch von privaten Zertifizierungsstellen von Drittanbietern ausgestellt wurden. Diese Flexibilität ermöglicht es Ihnen, Ihre bestehende Zertifikatsinfrastruktur zu verwenden oder AWS verwaltete Zertifikatsdienste zu nutzen, die Ihren organisatorischen Anforderungen entsprechen.

Anforderungen und Spezifikationen für Zertifikate

Trust Stores haben spezielle Anforderungen an die CA-Zertifikate, die sie enthalten:

Anforderungen an das Format von CA-Zertifikaten

Unterstützte Zertifikatsspezifikationen

Beispiel für ein Zertifikatspaket

Mehrere Zertifikate (PEM-kodiert):

# Root CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqiMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----
# Intermediate CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqjMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----

Erstellen Sie einen Trust Store

Bevor Sie einen Trust Store erstellen, müssen Sie Ihr CA-Zertifikatspaket im PEM-Format in einen Amazon S3 S3-Bucket hochladen. Das Zertifikatspaket sollte alle vertrauenswürdigen Stamm- und Zwischenzertifikate von CA enthalten, die zur Validierung Ihrer Client-Zertifikate erforderlich sind.

Das CA-Zertifikatspaket wird bei der Erstellung eines Vertrauensspeichers nur einmal aus S3 gelesen. Wenn future Änderungen am CA-Zertifikatspaket vorgenommen werden, muss der Trust Store manuell aktualisiert werden. Zwischen dem Trust Store und dem S3-CA-Zertifikatspaket wird keine Synchronisierung aufrechterhalten.

Voraussetzungen

Um einen Trust Store (Konsole) zu erstellen

So erstellen Sie einen Trust Store (AWS CLI)

aws cloudfront create-trust-store \
  --name MyTrustStore \
  --certificate-authority-bundle-s3-location Bucket=my-bucket,Key=ca-bundle.pem \
  --tags Items=[{Key=Environment,Value=Production}]

Ordnen Sie den Trust Store Distributionen zu

Nachdem Sie einen Trust Store erstellt haben, müssen Sie ihn einer CloudFront Distribution zuordnen, um die gegenseitige TLS-Authentifizierung zu aktivieren.

Voraussetzungen

Um einen Trust Store (Konsole) zuzuordnen

Es gibt zwei Möglichkeiten, einen Trust Store innerhalb der CloudFront Konsole zuzuordnen: über die Seite mit den Trust Store-Details oder über die Seite mit den Verteilungseinstellungen.

Zuordnen eines Trust Stores über die Seite mit den Trust Store-Details:

Zuordnen eines Trust Stores über die Seite mit den Verteilungseinstellungen:

So ordnen Sie einen Trust Store (AWS CLI) zu

Trust Stores können Distributionen über den DistributionConfig zugeordnet werden. ViewerMtlsConfig Eigentum. Das bedeutet, dass wir zuerst die Distributionskonfiguration abrufen und diese dann ViewerMtlsConfig in einer nachfolgenden UpdateDistribution Anfrage bereitstellen müssen.

// First fetch the distribution
aws cloudfront get-distribution {DISTRIBUTION_ID}

// Update the distribution config, for example:
Distribution config, file://distConf.json: 
{
  ...other fields,
  ViewerMtlsConfig: {
    Mode: 'required',
    TrustStoreConfig: {
        AdvertiseTrustStoreCaNames: false,
        IgnoreCertificateExpiry: true,
        TrustStoreId: {TRUST_STORE_ID}
    }
  }
}

aws cloudfront update-distribution \
   --id {DISTRIBUTION_ID} \
   --if-match {ETAG} \
   --distribution-config file://distConf.json

Vertrauensspeicher verwalten

Details zum Trust Store anzeigen

Die Detailseite zeigt:

Ändern Sie einen Trust Store

Um das CA-Zertifikatspaket zu ersetzen:

Löschen Sie einen Trust Store

Voraussetzungen: Sie müssen zuerst den Trust Store von allen CloudFront Distributionen trennen.

Nächste Schritte

Nachdem Sie Ihren Trust Store erstellt und mit einer CloudFront Distribution verknüpft haben, können Sie damit fortfahren, die gegenseitige TLS-Authentifizierung auf Ihrer Distribution zu aktivieren und zusätzliche Einstellungen wie die Weiterleitung von Zertifikatsheadern an Ihre Ursprünge zu konfigurieren. Ausführliche Anweisungen zur Aktivierung von mTLS auf Ihren Distributionen finden Sie unter. Aktivieren Sie Mutual TLS für Distributionen CloudFront