Pilih kebijakan keamanan untuk domain kustom REST API Anda di API Gateway

Untuk keamanan domain kustom Amazon API Gateway yang lebih baik, Anda dapat memilih kebijakan keamanan di konsol API Gateway AWS CLI, atau AWS SDK.

Kebijakan keamanan adalah kombinasi standar dari versi TLS minimum dan cipher suite yang ditawarkan oleh API Gateway. Anda dapat memilih kebijakan keamanan TLS versi 1.2 atau TLS versi 1.0. Protokol TLS mengatasi masalah keamanan jaringan seperti gangguan dan penyadapan antara klien dan server. Ketika klien Anda membuat jabat tangan TLS ke API Anda melalui domain kustom, kebijakan keamanan memberlakukan versi TLS dan pilihan cipher suite yang dapat dipilih klien Anda untuk digunakan.

Dalam pengaturan domain kustom, kebijakan keamanan menentukan dua pengaturan:

• Versi TLS minimum yang digunakan API Gateway untuk berkomunikasi dengan klien API

• Cipher yang digunakan API Gateway untuk mengenkripsi konten yang dikembalikan ke klien API

Jika Anda memilih kebijakan keamanan TLS 1.0, kebijakan keamanan menerima lalu lintas TLS 1.0, TLS 1.2, dan TLS 1.3. Jika Anda memilih kebijakan keamanan TLS 1.2, kebijakan keamanan menerima lalu lintas TLS 1.2 dan TLS 1.3 dan menolak lalu lintas TLS 1.0.

catatan

Anda hanya dapat menentukan kebijakan keamanan untuk domain kustom. Untuk API yang menggunakan titik akhir default, API Gateway menggunakan kebijakan keamanan berikut:

• Untuk tepi APIs yang dioptimalkan: TLS-1-0

• Untuk Regional APIs: TLS-1-0

• Untuk pribadi APIs: TLS-1-2

Cipher untuk setiap kebijakan keamanan dijelaskan dalam tabel berikut di halaman ini.

Cara menentukan kebijakan keamanan untuk domain kustom

Saat Anda membuat nama domain kustom, Anda menentukan kebijakan keamanan untuk itu. Untuk mempelajari cara membuat domain kustom, lihat Siapkan nama domain kustom yang dioptimalkan tepi di API Gateway atauMenyiapkan nama domain kustom Regional di API Gateway.

Untuk mengubah kebijakan keamanan nama domain kustom Anda, perbarui pengaturan domain kustom. Anda dapat memperbarui setelan nama domain kustom Anda menggunakan AWS CLI,, atau AWS SDK. AWS Management Console

Bila Anda menggunakan API Gateway REST API atau AWS CLI, tentukan versi TLS baru, TLS_1_0 atau TLS_1_2 dalam securityPolicy parameter. Untuk informasi selengkapnya, lihat domainname:update di Referensi API REST Amazon API Gateway atau di Referensi. update-domain-nameAWS CLI

Operasi pembaruan mungkin memakan waktu beberapa menit untuk diselesaikan.

Kebijakan keamanan yang didukung, versi protokol TLS, dan cipher untuk domain kustom yang dioptimalkan tepi

Tabel berikut menjelaskan kebijakan keamanan yang dapat ditentukan untuk nama domain kustom yang dioptimalkan tepi.

Protokol TLS	Kebijakan keamanan TLS_1_0	Kebijakan keamanan TLS_1_2
TLSv1.3	Ya	Ya
TLSv1.2	Ya	Ya
TLSv1.1	Ya	Tidak
TLSv1	Ya	Tidak

Tabel berikut menjelaskan cipher TLS yang tersedia untuk setiap kebijakan keamanan.

Cipher TLS	Kebijakan keamanan TLS_1_0	Kebijakan keamanan TLS_1_2
TLS_AES_128_GCM_ SHA256	Ya	Ya
TLS_AES_256_GCM_ SHA384	Ya	Ya
TLS_ 0_ 05_ CHACHA2 POLY13 SHA256	Ya	Ya
ECDHE-ECDSA- -GCM- AES128 SHA256	Ya	Ya
ECDHE-ECDSA- - AES128 SHA256	Ya	Ya
ECDHE-ECDSA- -SHA AES128	Ya	Tidak
ECDHE-ECDSA- -GCM- AES256 SHA384	Ya	Ya
ECDHE-ECDSA- 0- 05 CHACHA2 POLY13	Ya	Ya
ECDHE-ECDSA- - AES256 SHA384	Ya	Ya
ECDHE-ECDSA- -SHA AES256	Ya	Tidak
ECDHE-RSA- -GCM- AES128 SHA256	Ya	Ya
ECDHE-RSA- - AES128 SHA256	Ya	Ya
ECDHE-RSA- -SHA AES128	Ya	Tidak
ECDHE-RSA- -GCM- AES256 SHA384	Ya	Ya
ECDHE-RSA- 0- 05 CHACHA2 POLY13	Ya	Ya
ECDHE-RSA- - AES256 SHA384	Ya	Ya
ECDHE-RSA- -SHA AES256	Ya	Tidak
AES128-GCM- SHA256	Ya	Tidak
AES256-GCM- SHA384	Ya	Ya
AES128-SHA256	Ya	Ya
AES256-SHA	Ya	Tidak
AES128-SHA	Ya	Tidak
DES- CBC3 -SHA	Ya	Tidak

Kebijakan keamanan yang didukung, versi protokol TLS, dan cipher untuk domain kustom Regional

Tabel berikut menjelaskan kebijakan keamanan untuk nama domain kustom Regional.

Protokol TLS	Kebijakan keamanan TLS_1_0	Kebijakan keamanan TLS_1_2
TLSv1.3	Ya	Ya
TLSv1.2	Ya	Ya
TLSv1.1	Ya	Tidak
TLSv1	Ya	Tidak

Tabel berikut menjelaskan cipher TLS yang tersedia untuk setiap kebijakan keamanan.

Cipher TLS	Kebijakan keamanan TLS_1_0	Kebijakan keamanan TLS_1_2
TLS_AES_128_GCM_ SHA256	Ya	Ya
TLS_AES_256_GCM_ SHA384	Ya	Ya
TLS_ 0_ 05_ CHACHA2 POLY13 SHA256	Ya	Ya
ECDHE-ECDSA- -GCM- AES128 SHA256	Ya	Ya
ECDHE-RSA- -GCM- AES128 SHA256	Ya	Ya
ECDHE-ECDSA- - AES128 SHA256	Ya	Ya
ECDHE-RSA- - AES128 SHA256	Ya	Ya
ECDHE-ECDSA- -SHA AES128	Ya	Tidak
ECDHE-RSA- -SHA AES128	Ya	Tidak
ECDHE-ECDSA- -GCM- AES256 SHA384	Ya	Ya
ECDHE-RSA- -GCM- AES256 SHA384	Ya	Ya
ECDHE-ECDSA- - AES256 SHA384	Ya	Ya
ECDHE-RSA- - AES256 SHA384	Ya	Ya
ECDHE-RSA- -SHA AES256	Ya	Tidak
ECDHE-ECDSA- -SHA AES256	Ya	Tidak
AES128-GCM- SHA256	Ya	Ya
AES128-SHA256	Ya	Ya
AES128-SHA	Ya	Tidak
AES256-GCM- SHA384	Ya	Ya
AES256-SHA256	Ya	Ya
AES256-SHA	Ya	Tidak

Versi protokol TLS yang didukung dan cipher untuk pribadi APIs

Tabel berikut menjelaskan protokol TLS yang didukung untuk pribadi. APIs Menentukan kebijakan keamanan untuk pribadi APIs tidak didukung.

Protokol TLS	Kebijakan keamanan TLS_1_2
TLSv1.2	Ya

Tabel berikut menjelaskan cipher TLS yang tersedia untuk kebijakan TLS_1_2 keamanan untuk pribadi. APIs

Cipher TLS	Kebijakan keamanan TLS_1_2
ECDHE-ECDSA- -GCM- AES128 SHA256	Ya
ECDHE-RSA- -GCM- AES128 SHA256	Ya
ECDHE-ECDSA- - AES128 SHA256	Ya
ECDHE-RSA- - AES128 SHA256	Ya
ECDHE-ECDSA- -GCM- AES256 SHA384	Ya
ECDHE-RSA- -GCM- AES256 SHA384	Ya
ECDHE-ECDSA- - AES256 SHA384	Ya
ECDHE-RSA- - AES256 SHA384	Ya
AES128-GCM- SHA256	Ya
AES128-SHA256	Ya
AES256-GCM- SHA384	Ya
AES256-SHA256	Ya

Nama sandi OpenSSL dan RFC

OpenSSL dan IETF RFC 5246 menggunakan nama yang berbeda untuk cipher yang sama. Tabel berikut memetakan nama OpenSSL ke nama RFC untuk setiap cipher.

Nama sandi OpenSSL	Nama sandi RFC
TLS_AES_128_GCM_ SHA256	TLS_AES_128_GCM_ SHA256
TLS_AES_256_GCM_ SHA384	TLS_AES_256_GCM_ SHA384
TLS_ 0_ 05_ CHACHA2 POLY13 SHA256	TLS_ 0_ 05_ CHACHA2 POLY13 SHA256
ECDHE-RSA- -GCM- AES128 SHA256	TLS_ECDHE_RSA_WITH_AES_128_GCM_ SHA256
ECDHE-RSA- - AES128 SHA256	TLS_ECDHE_RSA_WITH_AES_128_CBC_ SHA256
ECDHE-RSA- -SHA AES128	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
ECDHE-RSA- -GCM- AES256 SHA384	TLS_ECDHE_RSA_WITH_AES_256_GCM_ SHA384
ECDHE-RSA- - AES256 SHA384	TLS_ECDHE_RSA_WITH_AES_256_CBC_ SHA384
ECDHE-RSA- -SHA AES256	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
AES128-GCM- SHA256	TLS_RSA_WITH_AES_128_GCM_ SHA256
AES256-GCM- SHA384	TLS_RSA_WITH_AES_256_GCM_ SHA384
AES128-SHA256	TLS_RSA_WITH_AES_128_CBC_ SHA256
AES256-SHA	TLS_RSA_WITH_AES_256_CBC_SHA
AES128-SHA	TLS_RSA_WITH_AES_128_CBC_SHA
DES- CBC3 -SHA	TLS_RSA_WITH_3DES_EDE_CBC_SHA

Informasi tentang HTTP APIs dan WebSocket APIs

Untuk informasi lebih lanjut tentang HTTP APIs dan WebSocket APIs, lihat Kebijakan keamanan untuk HTTP APIs di API Gateway danKebijakan keamanan untuk WebSocket APIs di API Gateway.