Didacticiel : création d’une fonction Lambda@Edge basique (console)

Créez un compartiment Amazon S3 avec un fichier ou deux, par exemple des fichiers image, comme exemples de contenu. Pour obtenir de l'aide, suivez les étapes dans Chargement de votre contenu sur Amazon S3. Assurez-vous de définir des autorisations pour accorder l'accès public en lecture sur les objets de votre compartiment.

Créez une distribution CloudFront et ajoutez votre compartiment S3 comme origine, en suivant la procédure décrite dans la section Créer une distribution web CloudFront. Si vous avez déjà une distribution, vous pouvez, au lieu de cela, ajouter le compartiment en tant qu'origine pour cette distribution.

Connectez-vous à AWS Management Console et ouvrez la console AWS Lambda à l'adresse https://console.aws.amazon.com/lambda/.

Sélectionnez Créer une fonction.

Dans la page Create function (Créer une fonction) choisissez Use a blueprint (Utiliser un plan), puis filtrez les plans CloudFront en saisissant cloudfront dans le champ de recherche.

Choisissez le plan Modifier l’en-tête de réponse HTTP comme modèle pour votre fonction.

Entrez les informations suivantes sur votre fonction :

Dans le bas de la page, choisissez Créer une fonction.

Dans le volet Déployer sur Lambda@Edge qui apparaît, choisissez Annuler. (Pour ce didacticiel, vous devez modifier le code de la fonction avant de déployer la fonction sur Lambda@Edge.)

Faites défiler la page jusqu’à la section Source du code.

Remplacez le code de modèle par une fonction qui modifie les en-têtes de sécurité renvoyés par votre origine. Par exemple, vous pouvez utiliser du code tel que :

'use strict';
export const handler = (event, context, callback) => {

    //Get contents of response
    const response = event.Records[0].cf.response;
    const headers = response.headers;

    //Set new headers
    headers['strict-transport-security'] = [{key: 'Strict-Transport-Security', value: 'max-age= 63072000; includeSubdomains; preload'}];
    headers['content-security-policy'] = [{key: 'Content-Security-Policy', value: "default-src 'none'; img-src 'self'; script-src 'self'; style-src 'self'; object-src 'none'"}];
    headers['x-content-type-options'] = [{key: 'X-Content-Type-Options', value: 'nosniff'}];
    headers['x-frame-options'] = [{key: 'X-Frame-Options', value: 'DENY'}];
    headers['x-xss-protection'] = [{key: 'X-XSS-Protection', value: '1; mode=block'}];
    headers['referrer-policy'] = [{key: 'Referrer-Policy', value: 'same-origin'}];

    //Return modified response
    callback(null, response);
};

Choisissez Fichier, puis Enregistrer pour enregistrer votre code mis à jour.

Choisissez Déployer.

Dans la console Lambda, sur la page Présentation de la fonction, choisissez Ajouter un déclencheur.

Pour Configuration du déclencheur, choisissez CloudFront.

Choisissez Déployer sur Lambda@Edge.

Dans le volet Déployer sur Lambda@Edge, sous Configurer un déclencheur CloudFront, saisissez les informations suivantes :

Cochez la case Confirmer le déploiement sur Lambda@Edge.

Choisissez Deploy (Déployer) pour ajouter le déclencheur et répliquer la fonction dans les emplacements AWS à travers le monde.

Attendez que la réplication de la fonction soit terminée. Cela prend généralement plusieurs minutes.

Vous pouvez vérifier si la réplication est terminée en accédant à la console CloudFront et en visualisant votre distribution. Attendez que l’état de la distribution passe de Déploiement à une date et une heure, ce qui indique que votre fonction a été répliquée. Pour vérifier que la fonction s'exécute correctement, suivez les étapes de la section suivante.

Dans un navigateur, entrez l'URL d'un fichier dans votre compartiment S3. Par exemple, vous pouvez utiliser une URL similaire à https://d111111abcdef8.cloudfront.net/image.jpg.

Pour plus d’informations sur le nom de domaine CloudFront à utiliser dans l’URL du fichier, consultez Personnalisation du format de l’URL pour les fichiers dans CloudFront.

Ouvrez la barre d'outils Web Developer de votre navigateur. Par exemple, dans votre fenêtre de navigateur Chrome, ouvrez le menu contextuel (clic droit), puis choisissez Inspecter.

Choisissez l'onglet Network (Réseau).

Rechargez la page pour afficher votre image, puis choisissez une demande HTTP dans le volet de gauche. Vous voyez les en-têtes HTTP s'afficher dans un volet distinct.

Parcourez la liste des en-têtes HTTP pour vérifier que les en-têtes de sécurité attendus sont inclus dans la liste. Par exemple, vous pourrez peut-être voir des en-têtes similaires à ceux affichés dans la capture d'écran suivante.

Connectez-vous à AWS Management Console et ouvrez la console CloudWatch à l'adresse https://console.aws.amazon.com/cloudwatch/.

Modifiez Région en spécifiant l'emplacement qui est montré lorsque vous affichez le fichier dans votre navigateur. C'est là que la fonction s'exécute.

Dans le volet de gauche, choisissez Logs (Journaux) pour afficher les journaux de votre distribution.

Ouvrez la console Amazon S3 sur https://console.aws.amazon.com/s3/.

Sélectionnez le compartiment, puis choisissez Properties (Propriétés).

Dans Properties (Propriétés), choisissez Logging (Journalisation).

Désactivez la case à cocher Activé.

Choisissez Enregistrer.

Ouvrez la console CloudFront à l'adresse https://console.aws.amazon.com/cloudfront/v4/home.

Sélectionnez la distribution que vous souhaitez désactiver, puis choisissez Désactiver).

Lorsque vous serez invité à confirmer l'opération, choisissez Oui, désactiver.

Sélectionnez la distribution désactivée, puis choisissez Supprimer.

Lorsque vous êtes invité à confirmer l'opération, choisissez Oui, supprimer.