Utilizzo di CloudFront funzioni con Origin Mutual TLS

CloudFront Functions fornisce un'elaborazione leggera e senza server all'edge per personalizzare la distribuzione dei contenuti. Quando si utilizza Origin Mutual TLS con CloudFront Functions, esistono comportamenti e limitazioni specifici di cui tenere conto per quanto riguarda la selezione e la manipolazione dell'origine.

Operazioni sulle funzioni supportate CloudFront

CloudFront Le funzioni possono interagire con le origini abilitate per MTLS nei seguenti modi:

updateRequestOrigin()

La funzione updateRequestOrigin () supporta modifiche limitate quando si lavora con origini abilitate per MTLS:

• Passaggio da un'origine MTL all'altra: è possibile aggiornare la richiesta per instradare verso un'origine diversa che utilizzi MTL di origine, a condizione che entrambe le origini utilizzino lo stesso certificato client. Ciò consente di implementare una logica di routing personalizzata mantenendo l'autenticazione TLS reciproca.

• Disabilitazione degli MTL di origine: è possibile passare da un'origine abilitata per MTLS a un'origine non MTLS impostando la funzione. mTLSConfig: 'off' Ciò offre la flessibilità necessaria per disabilitare in modo condizionale l'autenticazione TLS reciproca in base alle caratteristiche della richiesta.

Esempio: passaggio da un'origine MTLS di origine all'altra con lo stesso certificato

function handler(event) {
    var request = event.request;

    // Route to different origin based on request path
    if (request.uri.startsWith('/api/v2')) {
        request.origin = {
            domainName: 'api-v2.example.com',
            customHeaders: {},
            // Both origins must use the same certificate
        };
    }

    return request;
}

Esempio: disabilitazione condizionale degli MTL di origine

function handler(event) {
    var request = event.request;

    // Disable mTLS for specific paths
    if (request.uri.startsWith('/public')) {
        request.origin = {
            domainName: 'public-origin.example.com',
            customHeaders: {},
            mTLSConfig: 'off'
        };
    }

    return request;
}

Operazioni sulle funzioni non supportate CloudFront

Le seguenti operazioni CloudFront Functions non supportano le origini abilitate per MTLS al momento della disponibilità generale:

selectRequestOriginById()

La selectRequestOriginById() funzione non può selezionare un'origine con MTL di origine abilitata. Il tentativo di selezionare un'origine abilitata per MTLS utilizzando questa funzione genererà un errore di convalida.

Se il tuo caso d'uso richiede una selezione dinamica dell'origine con MTL di origine, utilizza updateRequestOrigin() invece, assicurandoti che tutte le origini di destinazione utilizzino lo stesso certificato client.

createRequestOriginGruppo ()

La createRequestOriginGroup() funzione non supporta la creazione di gruppi di origine che includono origini abilitate per MTLS. I gruppi di origine con origini MTL di origine non possono essere creati dinamicamente tramite Functions. CloudFront

Se hai bisogno di funzionalità di failover di origine con Origin MTL, configura i gruppi di origine direttamente nelle impostazioni di CloudFront distribuzione anziché crearli dinamicamente nelle funzioni.