Verwenden von CloudFront Funktionen mit gegenseitigem TLS (Ursprung)

CloudFront Functions bietet einfache, serverlose Rechenleistung an der Peripherie, um die Bereitstellung von Inhalten individuell anzupassen. Bei der Verwendung von Mutual TLS (Origin) mit CloudFront Functions sind bestimmte Verhaltensweisen und Einschränkungen bei der Auswahl und Manipulation von Quellen zu beachten.

Unterstützte CloudFront Funktionsoperationen

CloudFront Funktionen können auf folgende Weise mit Mutual TLS (Origin) -fähigen Quellen interagieren:

updateRequestOrigin()

Die Funktion updateRequestOrigin () unterstützt begrenzte Änderungen bei der Arbeit mit Quellen, die für Mutual TLS (Origin) aktiviert sind:

• Zwischen gemeinsamen TLS-Ursprüngen (Herkunft) wechseln: Sie können die Anfrage so aktualisieren, dass sie an einen anderen Ursprung weitergeleitet wird, der Mutual TLS (Origin) verwendet, vorausgesetzt, beide Ursprünge verwenden dasselbe Client-Zertifikat. Auf diese Weise können Sie eine benutzerdefinierte Routing-Logik implementieren und gleichzeitig die gegenseitige TLS-Authentifizierung beibehalten.

• Deaktivierung von gegenseitigem TLS (Ursprung): Sie können von einem Ursprung, der für gegenseitiges TLS (Origin) aktiviert ist, zu einem nicht gegenseitigen TLS-Ursprung wechseln, indem Sie mTLSConfig: 'off' in der Funktion eine Einstellung vornehmen. Dies bietet die Flexibilität, die gegenseitige TLS-Authentifizierung auf der Grundlage von Anforderungsmerkmalen bedingt zu deaktivieren.

Beispiel: Wechsel zwischen gegenseitigen TLS-Ursprüngen (Herkunft) mit demselben Zertifikat

function handler(event) {
    var request = event.request;

    // Route to different origin based on request path
    if (request.uri.startsWith('/api/v2')) {
        request.origin = {
            domainName: 'api-v2.example.com',
            customHeaders: {},
            // Both origins must use the same certificate
        };
    }

    return request;
}

Beispiel: Bedingtes Deaktivieren von gegenseitigem TLS (Ursprung)

function handler(event) {
    var request = event.request;

    // Disable mTLS for specific paths
    if (request.uri.startsWith('/public')) {
        request.origin = {
            domainName: 'public-origin.example.com',
            customHeaders: {},
            mTLSConfig: 'off'
        };
    }

    return request;
}

Operationen mit Funktionen werden nicht unterstützt CloudFront

Die folgenden CloudFront Funktionsoperationen unterstützen, soweit allgemein verfügbar, keine für TLS (Origin) aktivierten Quellen:

selectRequestOriginById()

Die selectRequestOriginById() Funktion kann keinen Ursprung auswählen, für den Mutual TLS (Origin) aktiviert ist. Der Versuch, mit dieser Funktion einen für Mutual TLS (Origin) aktivierten Ursprung auszuwählen, führt zu einem Validierungsfehler.

Wenn Ihr Anwendungsfall eine dynamische Ursprungsauswahl mit gegenseitigem TLS (Ursprung) erfordert, verwenden Sie updateRequestOrigin() stattdessen diese Option und stellen Sie sicher, dass alle Zielquellen dasselbe Client-Zertifikat verwenden.

createRequestOriginGruppe ()

Die createRequestOriginGroup() Funktion unterstützt nicht die Erstellung von Ursprungsgruppen, die gemeinsame TLS-fähige (Origin) -fähige Ursprünge enthalten. Ursprungsgruppen mit gemeinsamen TLS-Ursprüngen (Ursprung) können nicht dynamisch über CloudFront Functions erstellt werden.

Wenn Sie Origin-Failover-Funktionen mit gegenseitigem TLS (Ursprung) benötigen, konfigurieren Sie Ursprungsgruppen direkt in Ihren CloudFront Verteilungseinstellungen, anstatt sie dynamisch in Funktionen zu erstellen.