Einschränkungen für CloudFront Functions

Die folgenden Einschränkungen gelten nur für CloudFront Functions.

Inhalt

• Logs (Protokolle)

• Anforderungstext

• Verwenden temporärer Anmeldeinformationen mit der CloudFront-KeyValueStore-API

• Laufzeit

• Computing-Auslastung

Weitere Informationen zu Kontingenten (zuvor Limits genannt) finden Sie unter Kontingente für CloudFront Funktionen.

Logs (Protokolle)

Funktionsprotokolle in CloudFront Functions werden auf 10 KB gekürzt.

Anforderungstext

CloudFront Functions kann nicht auf den Text der HTTP-Anforderung zugreifen.

Verwenden temporärer Anmeldeinformationen mit der CloudFront-KeyValueStore-API

Sie können AWS Security Token Service (AWS STS) verwenden, um temporäre Sicherheitsanmeldeinformationen (auch als Sitzungstoken bezeichnet) zu generieren. Mit Sitzungstoken können Sie vorübergehend eine AWS Identity and Access Management (IAM)-Rolle übernehmen, sodass Sie auf AWS-Services zugreifen können.

Um die CloudFront-KeyValueStore-API aufzurufen, verwenden Sie einen regionalen Endpunkt in AWS STS, um ein Sitzungstoken der Version 2 zurückzugeben. Wenn Sie den globalen Endpunkt für AWS STS (sts.amazonaws.com) verwenden, generiert AWS STS ein Sitzungstoken der Version 1, das von Signature Version 4A (SigV4A) nicht unterstützt wird. Infolgedessen wird ein Authentifizierungsfehler angezeigt.

Die CloudFront-KeyValueStore-API können Sie anhand der folgenden Optionen aufrufen:

AWS CLI und AWS SDKs

Sie können die AWS CLI oder ein AWS SDK für die Verwendung regionaler AWS STS-Endpunkte konfigurieren. Weitere Informationen finden Sie unter AWS STS-regionalisierte Endpunkte im Referenzhandbuch für AWS SDK und Tools.

Weitere Informationen zu verfügbaren AWS STS-Endpunkten finden Sie unter Regionen und Endpunkte im IAM-Benutzerhandbuch.

SAML

Sie können SAML für die Verwendung regionaler AWS STS-Endpunkte konfigurieren. Weitere Informationen finden Sie im Blogbeitrag How to use regional SAML endpoints for failover.

SetSecurityTokenServicePreferences-API

Anstatt einen regionalen AWS STS-Endpunkt zu verwenden, können Sie den globalen Endpunkt für AWS STS so konfigurieren, dass Sitzungstoken der Version 2 zurückgegeben werden. Verwenden Sie dazu die API-Operation SetSecurityTokenServicePreferences, um Ihr AWS-Konto zu konfigurieren.

Beispiel: IAM-CLI-Befehl

aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

Tipp

Es wird empfohlen, die regionalen AWS STS-Endpunkte anstelle dieser Option zu verwenden. Regionale Endpunkte bieten eine höhere Verfügbarkeit und Failover-Szenarien.

Benutzerdefinierter Identitätsanbieter

Wenn Sie einen benutzerdefinierten Identitätsanbieter verwenden, der sich um den Verbund kümmert und die Rolle übernimmt, verwenden Sie eine der vorherigen Optionen für das übergeordnete Identitätsanbietersystem, das für die Generierung des Sitzungstokens verantwortlich ist.

Laufzeit

Die Laufzeitumgebung von CloudFront Functions unterstützt keine dynamische Codeauswertung und schränkt den Zugriff auf Netzwerk, Dateisystem, Umgebungsvariablen und Timer ein. Weitere Informationen finden Sie unter Eingeschränkte Funktionen.

Anmerkung

Um CloudFront KeyValueStore verwenden zu können, muss Ihre CloudFront-Funktion die JavaScript-Laufzeitumgebung 2.0 verwenden.

Computing-Auslastung

CloudFront-Funktionen haben eine Begrenzung der Zeit, die sie für die Ausführung benötigen können, gemessen als Computing-Auslastung. Die Computing-Auslastung ist eine Zahl zwischen 0 und 100, mit der die Zeit angegeben wird, die die Ausführung der Funktion als Prozentsatz der maximal zulässigen Zeit in Anspruch genommen hat. Zum Beispiel bedeutet eine Rechenauslastung von 35, dass die Funktion in 35 % der maximal zulässigen Zeit abgeschlossen wurde.

Wenn Sie eine Funktion testen können Sie den Wert der Computing-Auslastung in der Ausgabe des Testereignisses sehen. Für Produktionsfunktionen können Sie die Metrik für die Computing-Auslastung auf der Seite Monitoring (Überwachung) in der CloudFront-Konsole oder in CloudWatch anzeigen.