Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Afficher les en-têtes mTLS pour les politiques de cache et les transmettre à l'origine

Lorsque vous utilisez l'authentification TLS mutuelle, CloudFront vous pouvez extraire des informations des certificats clients et les transmettre à vos origines sous forme d'en-têtes HTTP. Cela permet à vos serveurs d'origine d'accéder aux détails des certificats sans implémenter de logique de validation des certificats.

Les en-têtes suivants sont disponibles pour créer des comportements de cache :

Pour les demandes d'origine, deux en-têtes supplémentaires sont fournis, en plus des en-têtes ci-dessus disponibles pour les comportements de cache. En raison de la taille potentielle de l' CloudFront-Viewer-Cert-Pem en-tête, celui-ci n'est pas exposé aux fonctions de bord (Lambda @Edge ou CloudFront Functions) et est uniquement transmis à l'origine.

Configurer le transfert d'en-tête

Console

En mode vérification, ajoute CloudFront automatiquement les en-têtes CloudFront-Viewer-Cert -* à toutes les demandes des spectateurs. Pour transférer ces en-têtes vers votre site d'origine :

Utilisation AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

L'exemple suivant montre comment créer une politique de demande d'origine qui inclut des en-têtes mTLS pour le mode de vérification :

aws cloudfront create-origin-request-policy \
  --origin-request-policy-config '{
    "Name": "MTLSHeadersPolicy",
    "HeadersConfig": {
      "HeaderBehavior": "whitelist",
      "Headers": {
        "Quantity": 5,
        "Items": [
          "CloudFront-Viewer-Cert-Serial-Number",
          "CloudFront-Viewer-Cert-Issuer",
          "CloudFront-Viewer-Cert-Subject",
          "CloudFront-Viewer-Cert-Validity",
          "CloudFront-Viewer-Cert-Pem"
        ]
      }
    },
    "CookiesConfig": {
      "CookieBehavior": "none"
    },
    "QueryStringsConfig": {
      "QueryStringBehavior": "none"
    }
  }'

Considérations relatives au traitement des en-

Lorsque vous travaillez avec des en-têtes de certificat, tenez compte des bonnes pratiques suivantes :

Étapes suivantes

Après avoir configuré le transfert d'en-tête, vous pouvez implémenter la vérification de révocation des certificats à l'aide de CloudFront Connection Functions et. KeyValueStore Pour plus de détails sur la mise en œuvre des contrôles de révocation, consultezRévocation du certificat.