証明書の取り消し

侵害、ポリシーの変更、または関係の終了により証明書を取り消す必要がある場合は、mTLS ハンドシェイク中にこれらの証明書を拒否するメカニズムが必要です。CloudFront は、証明書失効に対する 2 つのネイティブアプローチを提供しており、それらをレイヤードコントロールのために組み合わせることができます。

両方のアプローチを一緒に使用できます。CA 権限による失効チェックのために OCSP を有効にし、Connection Function を使用して OCSP 結果の上に追加のロジックをレイヤーします。例えば、猶予期間中は信頼された IP 範囲からの失効した証明書を許可するなどです。

OCSP (オンライン証明書ステータスプロトコル)

OCSP は、証明書の失効ステータスを認証局 (CA) に直接確認するリアルタイムプロトコルです。証明書の署名プロセス中、CA は証明書に OCSP レスポンダー URL を埋め込みます。クライアントが mTLS ハンドシェイク中に証明書を提示すると、CloudFront は埋め込みレスポンダー URL に OCSP リクエストを送信し、レスポンスに基づいて処理します。有効な証明書は続行され、失効した証明書は処理を終了します。

CloudFront は、リーフ証明書と最大 3 つの中間証明書を含む証明書チェーン全体を、それぞれ対応する OCSP レスポンダー URL に対して検証します。信頼ストアのルート証明書は OCSP 検証から除外されます。

OCSP を有効にする

信頼ストアで OCSP を有効にします。有効にすると、CloudFront は、認証局情報アクセス (AIA) 拡張機能に OCSP レスポンダー URL を含むクライアント証明書に対して OCSP 検証を自動的に実行します。OCSP を有効にすると、クライアント証明書チェーン全体に OCSP URL が必要になります。クライアント証明書チェーン内のいずれかの証明書に OCSP URL が含まれていない場合、CloudFront は接続を確立しません。

CloudFront は OCSP レスポンスをエッジでキャッシュしてラウンドトリップタイムを短縮し、OCSP レスポンダーのダウンタイムを防ぎます。OCSP レスポンスは約 30 分間キャッシュされ、更新された失効ステータスが反映されるまでに最大 30 分かかる場合があります。

Connection Functions における OCSP の結果

Connection Function が同じディストリビューションに設定されている場合、CloudFront は OCSP 検証の完了後に Connection Function を呼び出します。接続オブジェクトには、リーフ証明書と中間証明書の OCSP ステータスが含まれます。

{
  "clientCertificate": {
    "certificates": {
      "leaf": {
        "subject": "CN=client.example.com, O=Example Org",
        "issuer": "CN=Intermediate CA, O=Example Org",
        "serialNumber": "00:a7:30:9e:73:7b:3e:63:bd:b7:c0:7e:bf:d5:c9:86",
        "validity": {
          "notBefore": "2024-01-01T00:00:00Z",
          "notAfter": "2025-01-01T00:00:00Z"
        },
        "sha256Fingerprint": "AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90",
        "ocspEndpoint": "http://ocsp.example.org"
      },
      "intermediates": [
        {
          "subject": "CN=Intermediate CA, O=Example Org",
          "issuer": "CN=Root CA, O=Example Org",
          "serialNumber": "00:a7:30:9e:73:7b:3e:63:bd:b7:c0:7e:bf:d5:c9:86",
          "validity": {
            "notBefore": "2020-01-01T00:00:00Z",
            "notAfter": "2030-01-01T00:00:00Z"
          },
          "sha256Fingerprint": "12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF",
          "ocspEndpoint": "http://ocsp.example.org"
        }
      ]
    },
    "revocationStatus": {
      "chainValidity": "Valid",           // "Valid" | "Invalid" | "Unknown"
      "certificates": {
        "leaf": {
          "method": "OCSP",               // "OCSP"
          "status": "Good",               // "Good" | "Revoked" | "Unknown" | "Error"
          "serialNumber": "00:a7:30:9e:73:7b:3e:63:bd:b7:c0:7e:bf:d5:c9:86"
        },
        "intermediates": [
          {
            "method": "OCSP",             // "OCSP"
            "status": "Error",            // "Good" | "Revoked" | "Unknown" | "Error"
            "errorType": "InternalError", // "InternalError" | "OCSP response verification failed: {Type}"
            "serialNumber": "00:a7:30:9e:73:7b:3e:63:bd:b7:c0:7e:bf:d5:c9:86"
          }
        ]
      }
    }
  },
  "clientIp":"127.0.0.1",
  "endpoint":"d123.cloudfront.net",
  "distributionId":"E1NXS4MQZH501R",
  "connectionId":"xdzQ6lJUDUt8b7OuqOD8lmzOC9HcMaXPmhH5ZdzLCZpKxqzfCPpR4A=="
}

chainValidity フィールドは、Valid､Invalid､Unknown のいずれかになります。個々の証明書の status 値は、Good、Revoked、Unknown、Error のいずれかになります。ステータスが Error の場合、errorType フィールドには、InternalError または OCSP response verification failed: {Type} が含まれます。

Connection Function は、OCSP の結果を上書きできます。例えば、信頼された IP 範囲から取り消された証明書を許可したり、OCSP が追加のビジネスロジックに基づいて「良好」と報告した証明書を拒否したりできます。

例: 信頼できる IP 例外を使用したカスタム OCSP 処理

function connectionHandler(connection) {
    var revocationStatus = connection.clientCertificate.revocationStatus;
    var trustedIP = (connection.clientIp === "[IP_ADDRESS]");

    if (revocationStatus.chainValidity === "Invalid") {
        if (trustedIP) {
            connection.allow();
        } else {
            connection.deny();
        }
    } else if (revocationStatus.certificates.leaf.status === "Error") {
        console.log(revocationStatus.certificates.leaf.errorType);
        connection.deny();
    } else {
        connection.allow();
    }
}

OCSP の失敗動作

CloudFront が証明書の失効ステータスを判断できない場合 (OCSP レスポンダーに到達できない、エラーを返す、または「不明」を返すなど)、CloudFront はデフォルトで接続を拒否します。ソフトフェイル動作を実装するには、Connection Function を使用します。OCSP が有効で、クライアント証明書に OCSP URL がない場合、Connection Functions は実行されません。OCSP の結果は接続オブジェクトで使用でき、OCSP ステータスが未確定の場合でも関数は接続を許可できます。

async function connectionHandler(connection) {
    var revocationStatus = connection.clientCertificate.revocationStatus;

    if (revocationStatus.certificates.leaf.status === "Error" ||
        revocationStatus.certificates.leaf.status === "Unknown") {
        // OCSP responder unreachable — allow connection (soft-fail)
        connection.logCustomData(`OCSP_SOFT_FAIL:${revocationStatus.certificates.leaf.errorType}`);
        return connection.allow();
    }

    if (revocationStatus.chainValidity === "Invalid") {
        return connection.deny();
    }

    return connection.allow();
}

CloudFront Functions と KeyValueStore を使用した証明書失効

CloudFront Connection Functions と KeyValueStore を使用すれば、外部依存関係なしに証明書失効チェックを実装できます。失効した証明書のシリアル番号のリストを KeyValueStore に保持し、Connection Function は TLS ハンドシェイク中に各クライアント証明書をこのリストと照合します。

証明書の失効プロセスは次のように機能します。

このアプローチは、CloudFront のグローバルエッジネットワーク全体でほぼリアルタイムの失効チェックを提供します。

このアプローチを実装するには、以下が必要です。

クライアントが接続されると、CloudFront はトラストストアに対して証明書を検証し、Connection Function を実行します。関数は証明書のシリアル番号と KeyValueStore を確認し、接続を許可または拒否します。

ステップ 1: 失効した証明書の KeyValueStore を作成する

失効した証明書のシリアル番号を JSON 形式で準備します。

{
  "data": [
    { "key": "ABC123DEF456", "value": "" },
    { "key": "789XYZ012GHI", "value": "" }
  ]
}

この JSON ファイルを S3 バケットにアップロードし、KeyValueStore を作成します。

aws s3 cp revoked-serials.json s3://your-bucket-name/revoked-serials.json

aws cloudfront create-key-value-store \
  --name revoked-serials-kvs \
  --import-source '{
    "SourceType": "S3",
    "SourceARN": "arn:aws:s3:::your-bucket-name/revoked-serials.json"
  }'

KeyValueStore がプロビジョニングを完了するまで待ちます。次の方法でステータスを確認します。

aws cloudfront get-key-value-store --name "revoked-serials-kvs"

ステップ 2: 失効 Connection Function を作成する

証明書のシリアル番号と KeyValueStore を確認する Connection Function を作成します。

aws cloudfront create-connection-function \
  --name "revocation-control" \
  --connection-function-config file://connection-function-config.json \
  --connection-function-code file://connection-function-code.txt

設定ファイルで KeyValueStore の関連付けを指定します。

{
  "Runtime": "cloudfront-js-2.0",
  "Comment": "A function that implements revocation control via KVS",
  "KeyValueStoreAssociations": {
    "Quantity": 1,
    "Items": [
      {
        "KeyValueStoreArn": "arn:aws:cloudfront::account-id:key-value-store/kvs-id"
      }
    ]
  }
}

Connection Function のサンプルコード。

import cf from 'cloudfront';

async function connectionHandler(connection) {
    const kvsHandle = cf.kvs();

    // Get client serial number from client certificate
    const clientSerialNumber =
        connection.clientCertificate.certificates.leaf.serialNumber;

    // Check KVS to see if serial number exists as a key
    // Remove : from the clientSerialNumber if KVS entries dont have it
    const serialNumberExistsInKvs =
        await kvsHandle.exists(clientSerialNumber.replaceAll(":", ""));

    // Deny connection if serial number exists in KVS
    if (serialNumberExistsInKvs) {
        console.log("Connection denied — certificate revoked");
        connection.logCustomData("Connection denied — certificate revoked");
        return connection.deny();
    }

    // Allow connections that don't exist in KVS
    console.log("Connection allowed");
    return connection.allow();
}

ステップ 3: 失効関数をテストする

CloudFront コンソールを使用し、サンプル証明書を使用して Connection Function をテストします。コンソールの Connection Function に移動し、[テスト] タブを使用します。

有効な証明書と失効した証明書の両方を使用してテストし、関数が両方のシナリオを正しく処理することを確認します。

ステップ 4: 関数をディストリビューションに関連付ける

Connection Function を発行したら、mTLS が有効なディストリビューションに関連付けて、証明書失効チェックを有効にします。ディストリビューション設定に移動し、「ビューワー相互認証 (mTLS)」セクションまでスクロールし、Connection Function を選択して変更を保存します。

高度な失効戦略

OCSP と Connection Function ロジックを組み合わせる

CA 権限による失効チェックのために OCSP を有効にし、その上にカスタムポリシー用の Connection Function を重ねることができます。Connection Function は OCSP の結果を受け取り、追加のロジックを適用できます。

import cf from 'cloudfront';

async function connectionHandler(connection) {
    var kvsHandle = cf.kvs();
    var revocationStatus = connection.clientCertificate.revocationStatus;
    var serialNumber = connection.clientCertificate.certificates.leaf.serialNumber;

    // Check your own revocation list first (immediate revocation, no cache delay)
    var inKvs = await kvsHandle.exists(serialNumber.replaceAll(":", ""));
    if (inKvs) {
        connection.logCustomData("KVS_REVOKED:" + serialNumber);
        return connection.deny();
    }

    // Then check OCSP result
    if (revocationStatus.chainValidity === 'Valid' && revocationStatus.certificates.leaf.status === "Revoked") {
        // OCSP says revoked — allow grace period from trusted IPs
        if (connection.clientIp.startsWith("10.0.")) {
            connection.logCustomData("GRACE_PERIOD:" + serialNumber + ":" + connection.clientIp);
            return connection.allow();
        }
        connection.logCustomData("OCSP_REVOKED:" + serialNumber);
        return connection.deny();
    }

    connection.allow();
}

このパターンでは、KVS 経由の即時失効 (キャッシュ遅延なし) と OCSP 経由の CA 権限による失効があり、その間にカスタム例外処理が行われます。