Aktifkan Origin Mutual TLS untuk distribusi CloudFront

Setelah mendapatkan sertifikat klien melalui Manajer AWS Sertifikat dan mengonfigurasi server asal Anda agar memerlukan TLS bersama, Anda dapat mengaktifkan MTL asal pada distribusi Anda CloudFront .

Prasyarat dan persyaratan

Sebelum mengaktifkan MTL asal pada CloudFront distribusi, pastikan Anda memiliki:

• Sertifikat klien yang disimpan di Manajer AWS Sertifikat di Wilayah AS Timur (Virginia Utara) (us-east-1)

• Server asal dikonfigurasi untuk memerlukan otentikasi TLS bersama dan memvalidasi sertifikat klien

• Server asal yang menyajikan sertifikat dari Otoritas Sertifikat yang dipercaya secara publik

• Izin untuk memodifikasi CloudFront distribusi

• Origin MTL hanya tersedia pada paket Bisnis, Premium, atau paket harga Pay as you go.

catatan

Origin MTL dapat dikonfigurasi untuk asal kustom (termasuk asal yang dihosting di luar AWS) dan AWS asal yang mendukung TLS bersama seperti Application Load Balancer dan API Gateway.

penting

Fitur- CloudFront fitur berikut tidak didukung dengan MTL asal:

• Lalu lintas gRPC: Proto kol gRPC tidak didukung untuk asal dengan MTL asal diaktifkan

• WebSocket koneksi: WebSocket protokol tidak didukung untuk asal dengan MTL asal diaktifkan

• Asal VPC: MTL asal tidak dapat digunakan dengan asal VPC

• Pemicu permintaan asal dan respons asal dengan Lambda @Edge: Fungsi Lambda @Edge dalam permintaan asal dan posisi respons asal tidak didukung dengan MTL asal

• POP Tertanam: MTL asal tidak didukung untuk POP tertanam

Aktifkan MTL asal

Per-origin konfigurasi memungkinkan Anda untuk menentukan sertifikat klien yang berbeda untuk asal yang berbeda dalam distribusi yang sama. Pendekatan ini memberikan fleksibilitas maksimum ketika asal Anda memiliki persyaratan otentikasi yang berbeda.

Untuk distribusi baru (Konsol)

1. Masuk ke Konsol Manajemen AWS dan buka CloudFront konsol dihttps://console.aws.amazon.com/cloudfront/v4/home.

2. Pilih Buat distribusi

3. Pilih paket harga: Pilih Business atau Premium atau Pay As You Go (MTL Origin tidak tersedia pada paket Gratis)

4. Di bagian Pengaturan Asal, pilih Jenis Asal sebagai Lainnya

5. Di bagian Peng aturan Asal, pilih Ku stomisasi pengaturan asal

6. Konfigurasikan asal pertama Anda (nama domain, protokol, dan sebagainya)

7. Dalam konfigurasi asal, temukan MTL

8. Alihkan MTL ke Aktif

9. Untuk sertifikat Klien, pilih sertifikat Anda dari Manajer AWS Sertifikat

10. (Opsional) Tambahkan asal tambahan dengan konfigurasi MTL asal mereka sendiri

11. Lengkapi pengaturan distribusi yang tersisa dan pilih Buat distribusi

Untuk distribusi yang ada (Konsol)

1. Masuk ke Konsol Manajemen AWS dan buka CloudFront konsol dihttps://console.aws.amazon.com/cloudfront/v4/home.

2. Dari daftar distribusi, pilih distribusi yang ingin Anda modifikasi. (Catatan: Pastikan distribusi Anda menggunakan paket harga Pro atau Premium atau Pay As You Go. Jika tidak, Anda harus meningkatkan paket harga Anda sebelum mengaktifkan MTL asal)

3. Pilih tab Origins

4. Pilih asal yang ingin Anda konfigurasikan dan pilih Edit

5. Di pengaturan asal, temukan MTL

6. Alihkan MTL ke Aktif

7. Untuk sertifikat Klien, pilih sertifikat Anda dari Manajer AWS Sertifikat. (Catatan: Hanya sertifikat klien dengan properti EKU (Extended Key Usage) yang disetel ke “Otentikasi Klien TLS” yang akan terdaftar)

8. Pilih Save changes (Simpan perubahan)

9. Ulangi untuk asal tambahan sesuai kebutuhan

Penggunaan AWS CLI

Untuk konfigurasi per asal, tentukan pengaturan MTL asal dalam konfigurasi setiap asal:

{
  "Origins": {
    "Quantity": 2,
    "Items": [
      {
        "Id": "origin-1",
        "DomainName": "api.example.com",
        "CustomOriginConfig": {
          "HTTPSPort": 443,
          "OriginProtocolPolicy": "https-only"
        },
        "OriginMtlsConfig": {
          "ClientCertificateArn": "arn:aws:acm:us-east-1:123456789012:certificate/cert-1"
        }
      },
      {
        "Id": "origin-2",
        "DomainName": "backend.example.com",
        "CustomOriginConfig": {
          "HTTPSPort": 443,
          "OriginProtocolPolicy": "https-only"
        },
        "OriginMtlsConfig": {
          "CertificateArn": "arn:aws:acm:us-east-1:123456789012:certificate/cert-2"
        }
      }
    ]
  }
}

catatan

CloudFront tidak akan memberikan sertifikat klien jika server tidak memintanya, memungkinkan koneksi berjalan secara normal.

Langkah selanjutnya

Setelah mengaktifkan MTL asal pada CloudFront distribusi Anda, Anda dapat memantau peristiwa otentikasi menggunakan log CloudFront akses.