Einschränkungen bei Funktionen CloudFront

Die folgenden Einschränkungen gelten nur für CloudFront Functions.

Inhalt

• Protokolle

• Anforderungstext

• Verwenden temporärer Anmeldeinformationen mit der CloudFront KeyValueStore API

• Laufzeit

• Computing-Auslastung

Weitere Informationen zu Kontingenten (zuvor Limits genannt) finden Sie unter Kontingente für CloudFront Funktionen.

Protokolle

Funktionsprotokolle in CloudFront Functions werden um 10 KB gekürzt.

Anforderungstext

CloudFront Funktionen können nicht auf den Hauptteil der HTTP-Anfrage zugreifen.

Verwenden temporärer Anmeldeinformationen mit der CloudFront KeyValueStore API

Sie können AWS -Security-Token-Service (AWS STS) verwenden, um temporäre Sicherheitsanmeldeinformationen (auch als Sitzungstoken bekannt) zu generieren. Mit Sitzungstoken können Sie vorübergehend eine AWS Identity and Access Management (IAM-) Rolle übernehmen, sodass Sie darauf zugreifen AWS-Services können.

Um die CloudFront KeyValueStore API aufzurufen, verwenden Sie einen regionalen Endpunkt, AWS STS um ein Sitzungstoken der Version 2 zurückzugeben. Wenn Sie den globalen Endpunkt für AWS STS (sts.amazonaws.com) verwenden, AWS STS wird ein Sitzungstoken der Version 1 generiert, das von Signature Version 4A (SigV4A) nicht unterstützt wird. Infolgedessen wird ein Authentifizierungsfehler angezeigt.

Um die CloudFront KeyValueStore API aufzurufen, können Sie die folgenden Optionen verwenden:

AWS CLI und AWS SDKs

Sie können das AWS CLI oder ein AWS SDK so konfigurieren, dass regionale AWS STS Endpunkte verwendet werden. Weitere Informationen finden Sie unter AWS STS -regionalisierte Endpunkte im Referenzhandbuch für AWS SDK und Tools.

Weitere Informationen zu verfügbaren AWS STS Endpunkten finden Sie unter Regionen und Endpunkte im IAM-Benutzerhandbuch.

SAML

Sie können SAML so konfigurieren, dass regionale Endpunkte verwendet werden. AWS STS Weitere Informationen finden Sie im Blogbeitrag How to use regional SAML endpoints for failover.

SetSecurityTokenServicePreferences-API

Anstatt einen regionalen AWS STS Endpunkt zu verwenden, können Sie den globalen Endpunkt so konfigurieren, AWS STS dass Sitzungstoken der Version 2 zurückgegeben werden. Verwenden Sie dazu den SetSecurityTokenServicePreferences API-Vorgang, um Ihre zu konfigurieren AWS-Konto.

Beispiel Beispiel: IAM-CLI-Befehl

aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

Tipp

Wir empfehlen, die AWS STS regionalen Endpunkte anstelle dieser Option zu verwenden. Regionale Endpunkte bieten eine höhere Verfügbarkeit und Failover-Szenarien.

Benutzerdefinierter Identitätsanbieter

Wenn Sie einen benutzerdefinierten Identitätsanbieter verwenden, der sich um den Verbund kümmert und die Rolle übernimmt, verwenden Sie eine der vorherigen Optionen für das übergeordnete Identitätsanbietersystem, das für die Generierung des Sitzungstokens verantwortlich ist.

Laufzeit

Die CloudFront Functions-Laufzeitumgebung unterstützt keine dynamische Codeauswertung und schränkt den Zugriff auf das Netzwerk, das Dateisystem, Umgebungsvariablen und Timer ein. Weitere Informationen finden Sie unter Eingeschränkte Funktionen.

Anmerkung

Um sie verwenden zu können CloudFront KeyValueStore, muss Ihre CloudFront Funktion JavaScript Runtime 2.0 verwenden.

Computing-Auslastung

CloudFront Funktionen haben ein Limit für die Ausführungsdauer, die als Rechenauslastung gemessen wird. Die Computing-Auslastung ist eine Zahl zwischen 0 und 100, mit der die Zeit angegeben wird, die die Ausführung der Funktion als Prozentsatz der maximal zulässigen Zeit in Anspruch genommen hat. Zum Beispiel bedeutet eine Rechenauslastung von 35, dass die Funktion in 35 % der maximal zulässigen Zeit abgeschlossen wurde.

Wenn Sie eine Funktion testen können Sie den Wert der Computing-Auslastung in der Ausgabe des Testereignisses sehen. Für Produktionsfunktionen können Sie die Metrik zur Rechenauslastung auf der Seite „Überwachung“ in der CloudFront Konsole oder unter einsehen CloudWatch.