Restringir o acesso a uma origem do AWS Lambda Web Function

Você pode usar o controle de acesso de origem (OAC) para restringir o acesso a uma origem do AWS Lambda Web Function. Uma Lambda Web Function fornece seu próprio endpoint HTTPS regional ou global, que você usa como domínio de origem para sua distribuição do CloudFront. Para obter mais informações sobre as Lambda Web Functions, consulte AWS Lambda Web Functions no AWS Lambda Guia do desenvolvedor.

Para obter mais informações sobre como usar o OAC com uma origem de URL de função do Lambda, consulte Restringir o acesso a uma origem do URL de função do AWS Lambda.

Pré-requisitos

Antes de criar e configurar o OAC, você deve ter uma distribuição do CloudFront com uma Lambda Web Function como origem. O nome de domínio de origem é o nome do host do endpoint da Lambda Web Function. O CloudFront identifica o tipo de endpoint a partir do nome do host:

Sua configuração também deve atender aos seguintes requisitos:

Conceder permissão ao CloudFront para acessar a Lambda Web Function

Anexe uma política baseada em recursos à Lambda Web Function que permite a entidade principal de serviço do CloudFront (cloudfront.amazonaws.com) invocar o endpoint. A ação do IAM para invocar um endpoint é lambda:InvokeWebFunctionEndpoint. A política é anexada à Lambda Web Function, mas cada instrução pode definir o escopo da Resource para um ARN de endpoint específico. Use um elemento Condition para permitir que o CloudFront acesse o endpoint somente quando a solicitação for em nome da distribuição do CloudFront que contém a origem.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontOACAccess",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "lambda:InvokeWebFunctionEndpoint",
            "Resource": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/endpoint/prod",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/EDFDVBD6EXAMPLE"
                }
            }
        }
    ]
}

Para anexar a política baseada em recursos, use o comando put-resource-policy com o ARN da função (não um ARN de endpoint):

aws lambda-web put-resource-policy \
  --resource-arn "arn:aws:lambda:us-east-1:111122223333:web-function/my-function" \
  --policy file://policy.json \
  --region us-east-1

Você pode revisar ou remover a política com os comandos get-resource-policy e delete-resource-policy.

Criar o controle de acesso à origem

Para criar um controle de acesso à origem (OAC), você pode usar o Console de gerenciamento da AWS, o CloudFormation, a AWS CLI ou a API do CloudFront.

O OAC entra em vigor para cada solicitação somente após a conclusão da implantação da distribuição. Para um endpoint que abrange mais de uma Região, a política baseada em recursos que você anexou anteriormente também deve concluir a replicação para cada Região que atende ao endpoint. Até que ambos sejam concluídos, algumas solicitações poderão receber uma resposta HTTP 403 transitória da origem. Esses erros são resolvidos automaticamente depois que a distribuição conclui a implantação e a política conclui a replicação.

Comportamento de assinatura

Origens do Lambda Web Function oferecem suporte apenas ao comportamento de assinatura always-amz-auth (Sempre assinar, preservar autorização do visualizador no console). O CloudFront sempre assina todas as solicitações enviadas à Lambda Web Function, mas não substitui o cabeçalho Authorization da solicitação do visualizador. Em vez disso, o CloudFront adiciona sua assinatura em um cabeçalho dedicado do CloudFront e passa o cabeçalho Authorization do visualizador para a origem sem modificações. Com esse comportamento, sua Lambda Web Function pode receber o cabeçalho original Authorization do visualizador (por exemplo, para realizar sua própria autenticação ou autorização). O CloudFront ainda assina todas as solicitações que envia para a origem. Para encaminhar o cabeçalho Authorization do visualizador, você deve adicioná-lo a uma política de cache para cada comportamento de cache que usa a origem.

Os outros comportamentos de assinatura (always, never, e no-override) não são compatíveis com as origens do Lambda Web Function. O comportamento de assinatura always-amz-auth não é compatível com nenhum outro tipo de origem, incluindo origens de URL da função do Lambda.

Para solicitações PUT, POST, e PATCH, o CloudFront assina a solicitação de origem com uma carga útil não assinada (UNSIGNED-PAYLOAD). O corpo da solicitação não é coberto pela assinatura do CloudFront. A assinatura ainda cobre o método da solicitação, o caminho, a string de consulta e os cabeçalhos que identificam sua distribuição. Portanto, o endpoint pode verificar se cada solicitação vem do CloudFront em nome de sua distribuição antes de invocar sua Lambda Web Function. O corpo da solicitação é protegido em trânsito pela conexão HTTPS entre o CloudFront e o endpoint. Você não precisa incluir um cabeçalho x-amz-content-sha256 nas solicitações para o CloudFront. Se um visualizador enviar um, o CloudFront não o usará ao assinar a solicitação de origem.