Configuration de paramètres supplémentaires - Amazon CloudFront
Validation du certificat client Mode facultatifPublicité de l'autorité de certificationGestion de l'expiration des certificatsÉtapes suivantes

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de paramètres supplémentaires

Après avoir activé l'authentification TLS mutuelle de base, vous pouvez configurer des paramètres supplémentaires pour personnaliser le comportement d'authentification en fonction de cas d'utilisation et d'exigences spécifiques.

Validation du certificat client Mode facultatif

CloudFront propose un autre mode facultatif de validation des certificats clients qui valide les certificats clients présentés mais autorise l'accès aux clients qui ne présentent pas de certificats.

Comportement du mode facultatif

  • Accorde la connexion aux clients dotés de certificats valides (les certificats non valides sont refusés).

  • Permet la connexion aux clients sans certificat

  • Permet des scénarios d'authentification client mixtes via une distribution unique.

Le mode optionnel est idéal pour la migration progressive vers l'authentification mTLS, la prise en charge des clients détenteurs de certificats et des clients dépourvus de certificats, ou le maintien de la rétrocompatibilité avec les anciens clients.

Note

En mode facultatif, les fonctions de connexion sont toujours invoquées même lorsque les clients ne présentent pas de certificats. Cela vous permet d'implémenter une logique personnalisée, telle que la journalisation des adresses IP des clients ou l'application de politiques différentes en fonction de la présentation des certificats.

Pour configurer le mode facultatif (console)

  1. Dans vos paramètres de distribution, accédez à l'onglet Général, puis choisissez Modifier.

  2. Accédez à la section Authentification mutuelle (mTLS) du visualiseur dans le conteneur de connectivité.

  3. Pour le mode de validation du certificat client, sélectionnez Facultatif.

  4. Enregistrez les modifications.

Pour configurer le mode facultatif (AWS CLI)

L'exemple suivant montre comment configurer le mode facultatif :


"ViewerMtlsConfig": {
   "Mode": "optional",
   ...other settings
}

Publicité de l'autorité de certification

Le AdvertiseTrustStoreCaNames champ contrôle si CloudFront la liste des noms d'autorités de certification fiables est envoyée aux clients lors de la prise de contact TLS, afin d'aider les clients à sélectionner le certificat approprié.

Pour configurer la publicité CA (console)

  1. Dans vos paramètres de distribution, accédez à l'onglet Général, puis choisissez Modifier.

  2. Accédez à la section Authentification mutuelle (mTLS) du visualiseur dans le conteneur de connectivité.

  3. Cochez ou désélectionnez la case Advertise Trust Store CA names.

  4. Sélectionnez Enregistrer les modifications.

Pour configurer la publicité CA (AWS CLI)

L'exemple suivant montre comment activer la publicité CA :

"ViewerMtlsConfig": {
   "Mode": "required", // or "optional"
   "TrustStoreConfig": {
      "AdvertiseTrustStoreCaNames": true,
      ...other settings
   } 
}

Gestion de l'expiration des certificats

La IgnoreCertificateExpiry propriété détermine comment CloudFront répondre aux certificats clients expirés. Par défaut, CloudFront rejette les certificats clients expirés, mais vous pouvez le configurer pour les accepter si nécessaire. Ceci est généralement activé pour les appareils dont les certificats ont expiré et qui ne peuvent pas être facilement mis à jour.

Pour configurer la gestion de l'expiration des certificats (console)

  1. Dans vos paramètres de distribution, accédez à l'onglet Général, puis choisissez Modifier.

  2. Accédez à la section Authentification mutuelle (mTLS) Viewer du conteneur de connectivité.

  3. Cochez ou désélectionnez la case Ignorer la date d'expiration du certificat.

  4. Sélectionnez Enregistrer les modifications.

Pour configurer la gestion de l'expiration des certificats (AWS CLI)

L'exemple suivant montre comment ignorer l'expiration d'un certificat :

"ViewerMtlsConfig": {
  "Mode": "required", // or "optional"
  "TrustStoreConfig": {
     "IgnoreCertificateExpiry": false,
     ...other settings
  }
}
Note

IgnoreCertificateExpiryne s'applique qu'aux dates de validité des certificats. Tous les autres contrôles de validation des certificats s'appliquent toujours (chaîne de confiance, validation de signature).

Étapes suivantes

Après avoir configuré des paramètres supplémentaires, vous pouvez configurer le transfert d'en-têtes pour transmettre les informations de certificat à vos origines, implémenter la révocation des certificats à l'aide des fonctions de connexion et KeyValueStore activer les journaux de connexion à des fins de surveillance. Pour plus de détails sur le transfert des informations de certificat vers les origines, voir Transférer les en-têtes vers les origines.