Einschränkungen von Funktionen CloudFront

Die folgenden Einschränkungen gelten nur für CloudFront Funktionen.

Inhalt

• Logs (Protokolle)

• Anforderungstext

• Verwenden temporärer Anmeldeinformationen mit der CloudFront KeyValueStore API

• Laufzeit

• Computing-Auslastung

Hinweise zu Kontingenten (früher als Beschränkungen bezeichnet) finden Sie unterKontingente für CloudFront Funktionen.

Logs (Protokolle)

Funktionsprotokolle in CloudFront Funktionen werden auf 10 KB gekürzt.

Anforderungstext

CloudFront Funktionen können nicht auf den Hauptteil der HTTP-Anfrage zugreifen.

Verwenden temporärer Anmeldeinformationen mit der CloudFront KeyValueStore API

Sie können AWS Security Token Service (AWS STS) verwenden, um temporäre Sicherheitsanmeldeinformationen (auch als Sitzungstoken bezeichnet) zu generieren. Mit Sitzungstoken können Sie vorübergehend eine AWS Identity and Access Management (IAM-) Rolle übernehmen, sodass Sie darauf zugreifen AWS-Services können.

Um die CloudFront KeyValueStore API aufzurufen, verwenden Sie einen regionalen Endpunkt, AWS STS um ein Sitzungstoken der Version 2 zurückzugeben. Wenn Sie den globalen Endpunkt for AWS STS (sts.amazonaws.com) verwenden, AWS STS wird ein Sitzungstoken der Version 1 generiert, das von Signature Version 4A (Sigv4A) nicht unterstützt wird. Infolgedessen erhalten Sie einen Authentifizierungsfehler.

Um die CloudFront KeyValueStore API aufzurufen, können Sie die folgenden Optionen verwenden:

AWS CLI und AWS SDKs

Sie können das AWS CLI oder ein AWS SDK für die Verwendung regionaler AWS STS Endpunkte konfigurieren. Weitere Informationen finden Sie unter AWS STS Regionalisierte Endpunkte im AWS SDK- und Tools-Referenzhandbuch.

Weitere Informationen zu verfügbaren AWS STS Endpunkten finden Sie im IAM-Benutzerhandbuch unter Regionen und Endpunkte.

SAML

Sie können SAML für die Verwendung regionaler Endpunkte konfigurieren. AWS STS Weitere Informationen finden Sie im Blogbeitrag So verwenden Sie regionale SAML-Endpunkte für Failover.

SetSecurityTokenServicePreferences-API

Anstatt einen regionalen AWS STS Endpunkt zu verwenden, können Sie den globalen Endpunkt so konfigurieren, AWS STS dass Sitzungstoken der Version 2 zurückgegeben werden. Verwenden Sie dazu den SetSecurityTokenServicePreferencesAPI-Vorgang zur Konfiguration Ihres AWS-Konto.

Beispiel: IAM-CLI-Befehl

aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

Tipp

Wir empfehlen, anstelle dieser Option die AWS STS regionalen Endpunkte zu verwenden. Regionale Endpunkte bieten höhere Verfügbarkeit und Failover-Szenarien.

Benutzerdefinierter Identitätsanbieter

Wenn Sie einen benutzerdefinierten Identitätsanbieter verwenden, der den Verbund übernimmt und die Rolle übernimmt, verwenden Sie eine der vorherigen Optionen für das übergeordnete Identitätsanbietersystem, das für die Generierung des Sitzungstokens verantwortlich ist.

Laufzeit

Die Runtime-Umgebung von CloudFront Functions unterstützt keine dynamische Codeauswertung und schränkt den Zugriff auf das Netzwerk, das Dateisystem, Umgebungsvariablen und Timer ein. Weitere Informationen finden Sie unter Eingeschränkte Funktionen.

Anmerkung

Um diese CloudFront Funktion verwenden zu können CloudFront KeyValueStore, muss sie JavaScript Runtime 2.0 verwenden.

Computing-Auslastung

CloudFront Funktionen haben eine Obergrenze für die Ausführungszeit, gemessen an der Rechenauslastung. Die Computing-Auslastung ist eine Zahl zwischen 0 und 100, mit der die Zeit angegeben wird, die die Ausführung der Funktion als Prozentsatz der maximal zulässigen Zeit in Anspruch genommen hat. Zum Beispiel bedeutet eine Rechenauslastung von 35, dass die Funktion in 35 % der maximal zulässigen Zeit abgeschlossen wurde.

Wenn Sie eine Funktion testen können Sie den Wert der Computing-Auslastung in der Ausgabe des Testereignisses sehen. Bei Produktionsfunktionen können Sie die Metrik zur Rechenauslastung auf der Seite Überwachung in der CloudFront Konsole oder in anzeigen CloudWatch.