Utilisation de CloudFront fonctions avec Origin Mutual TLS

CloudFront Functions fournit un calcul léger et sans serveur à la périphérie pour personnaliser la diffusion de contenu. Lorsque vous utilisez Origin Mutual TLS avec CloudFront Functions, il existe des comportements et des limites spécifiques à prendre en compte en ce qui concerne la sélection et la manipulation de l'origine.

Opérations CloudFront des fonctions prises en charge

CloudFront Les fonctions peuvent interagir avec les origines compatibles MTLS de la manière suivante :

updateRequestOrigin()

La fonction updateRequestOrigin () prend en charge des modifications limitées lorsque vous travaillez avec des origines compatibles MTLS :

• Basculement entre les origines des MTL d'origine : vous pouvez mettre à jour la demande pour qu'elle soit acheminée vers une autre origine utilisant des MTL d'origine, à condition que les deux origines utilisent le même certificat client. Cela vous permet d'implémenter une logique de routage personnalisée tout en maintenant l'authentification TLS mutuelle.

• Désactivation des MTLS d'origine : vous pouvez passer d'une origine compatible MTLS à une origine non MTLS en configurant la fonction. mTLSConfig: 'off' Cela permet de désactiver de manière conditionnelle l'authentification TLS mutuelle en fonction des caractéristiques de la demande.

Exemple : Basculer entre les origines MTL d'origine avec le même certificat

function handler(event) {
    var request = event.request;

    // Route to different origin based on request path
    if (request.uri.startsWith('/api/v2')) {
        request.origin = {
            domainName: 'api-v2.example.com',
            customHeaders: {},
            // Both origins must use the same certificate
        };
    }

    return request;
}

Exemple : désactivation conditionnelle des MTL d'origine

function handler(event) {
    var request = event.request;

    // Disable mTLS for specific paths
    if (request.uri.startsWith('/public')) {
        request.origin = {
            domainName: 'public-origin.example.com',
            customHeaders: {},
            mTLSConfig: 'off'
        };
    }

    return request;
}

Opérations de CloudFront fonctions non prises en charge

Les opérations CloudFront Functions suivantes ne prennent pas en charge les origines compatibles MTLS lors de leur disponibilité générale :

selectRequestOriginById()

La selectRequestOriginById() fonction ne peut pas sélectionner une origine pour laquelle les mTLS d'origine sont activés. Toute tentative de sélection d'une origine compatible MTLS à l'aide de cette fonction entraînera une erreur de validation.

Si votre cas d'utilisation nécessite une sélection dynamique de l'origine avec des MTL d'origine, utilisez-le updateRequestOrigin() plutôt, en vous assurant que toutes les origines cibles utilisent le même certificat client.

createRequestOriginGroupe ()

La createRequestOriginGroup() fonction ne prend pas en charge la création de groupes d'origine incluant des origines compatibles MTLS. Les groupes d'origine avec des origines MTL d'origine ne peuvent pas être créés dynamiquement via CloudFront Functions.

Si vous avez besoin de fonctionnalités de basculement d'origine avec les MTL d'origine, configurez les groupes d'origine directement dans vos paramètres de CloudFront distribution plutôt que de les créer dynamiquement dans les fonctions.