Limita l'accesso a un AWS Lambda Origine della funzione Web

Puoi utilizzare Origin Access Control (OAC) per limitare l'accesso a un'origine di AWS Lambda Web Function. Una funzione Web Lambda fornisce il proprio endpoint HTTPS regionale o globale, che viene utilizzato come dominio di origine per la distribuzione. CloudFront Per ulteriori informazioni su Lambda Web Functions, consulta AWS Lambda Web Functions nella AWS Lambda Developer Guide.

Per informazioni sull'utilizzo di OAC con l'origine dell'URL di una funzione Lambda, vedere. Limita l'accesso a un AWS Lambda origine dell'URL della funzione

Prerequisiti

Prima di creare e configurare OAC, è necessario disporre di una CloudFront distribuzione con una funzione Web Lambda come origine. Il nome di dominio di origine è il nome host dell'endpoint della funzione Web Lambda. CloudFront identifica il tipo di endpoint dal nome host:

La configurazione deve inoltre soddisfare i seguenti requisiti:

Concedi CloudFront l'autorizzazione per accedere alla funzione Web Lambda

Allega una policy basata sulle risorse alla funzione Web Lambda che consente al CloudFront service principal (cloudfront.amazonaws.com) di richiamare l'endpoint. L'azione IAM per richiamare un endpoint è. lambda:InvokeWebFunctionEndpoint La policy è allegata alla funzione Web Lambda, ma ogni istruzione può riferirsi Resource a un ARN di endpoint specifico. Utilizza un Condition elemento per consentire l'accesso CloudFront all'endpoint solo quando la richiesta è per conto della CloudFront distribuzione che contiene l'origine.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontOACAccess",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/prod",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/EDFDVBD6EXAMPLE"
                }
            }
        }
    ]
}

Per allegare la policy basata sulle risorse, usa il put-resource-policy comando con la funzione ARN (non un endpoint ARN):

aws lambda-web put-resource-policy \
  --resource-arn "arn:aws:lambda:us-east-1:111122223333:web-function/my-function" \
  --policy file://policy.json \
  --region us-east-1

È possibile rivedere o rimuovere la politica con i comandi and. get-resource-policy delete-resource-policy

Creazione del controllo di accesso origine

Per creare un controllo di accesso all'origine (OAC), puoi utilizzare l' Console di gestione AWS, CloudFormation AWS CLI, o l'API. CloudFront

L'OAC ha effetto per ogni richiesta solo al termine della distribuzione. Per un endpoint che si estende su più di una regione, la policy basata sulle risorse allegata in precedenza deve inoltre completare la replica in ogni regione che serve l'endpoint. Fino al completamento di entrambe le richieste, alcune richieste possono ricevere una risposta HTTP 403 transitoria dall'origine. Questi errori si risolvono automaticamente al termine della distribuzione e della replica della policy.

Comportamento della firma

Le origini di Lambda Web Function supportano solo il comportamento di always-amz-auth firma (firma sempre, conserva l'autorizzazione del visualizzatore nella console). CloudFront firma sempre tutte le richieste che invia alla funzione Web Lambda, ma non sostituisce l'Authorizationintestazione della richiesta del visualizzatore. Al contrario, CloudFront aggiunge la sua firma in un' CloudFront intestazione dedicata e passa l'intestazione del visualizzatore all'Authorizationorigine senza modifiche. Con questo comportamento, la tua funzione Web Lambda può ricevere l'Authorizationintestazione originale del visualizzatore (ad esempio, per eseguire la propria autenticazione o autorizzazione). CloudFront continua a firmare ogni richiesta che invia all'origine. Per inoltrare l'Authorizationintestazione del visualizzatore, è necessario aggiungerla a una politica di cache per ogni comportamento della cache che utilizza l'origine.

Gli altri comportamenti di firma (alwaysnever, eno-override) non sono supportati per le origini di Lambda Web Function. Il comportamento di always-amz-auth firma non è supportato per nessun altro tipo di origine, incluse le origini degli URL della funzione Lambda.

PerPUT, and POST PATCH requests, CloudFront firma la richiesta di origine con un payload () non firmato. UNSIGNED-PAYLOAD Il corpo della richiesta non è coperto dalla CloudFront firma. La firma copre ancora il metodo di richiesta, il percorso, la stringa di query e le intestazioni che identificano la distribuzione. L'endpoint può quindi verificare che ogni richiesta provenga per CloudFront conto della distribuzione prima di richiamare la funzione Web Lambda. Il corpo della richiesta è protetto in transito dalla connessione HTTPS tra CloudFront e l'endpoint. Non è necessario includere un'x-amz-content-sha256intestazione nelle richieste di. CloudFront Se uno spettatore ne invia una, CloudFront non la usa quando firma la richiesta di origine.