Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Anforderungen für die Verwendung von SSL/TLS Zertifikaten mit CloudFront
Die Anforderungen für SSL/TLS Zertifikate werden in diesem Thema beschrieben. Sie gelten, sofern nicht anders vermerkt, für die beiden folgenden Elemente:
-
Zertifikate für die Verwendung von HTTPS zwischen Zuschauern und CloudFront
-
Zertifikate für die Verwendung von HTTPS zwischen CloudFront und Ihrem Ursprung
Zertifikataussteller
Wir empfehlen, ein öffentliches Zertifikat zu verwenden, das von AWS Certificate Manager (ACM)us-east-1).
CloudFront unterstützt dieselben Zertifizierungsstellen (CAs) wie Mozilla. Wenn Sie ACM also nicht verwenden, verwenden Sie ein Zertifikat, das von einer Zertifizierungsstelle ausgestellt wurde, die in der Mozilla Included CA Certificate List aufgeführt ist.
TLS-Zertifikate, die von der Quelle verwendet werden, die Sie für Ihre CloudFront Distribution angegeben haben, müssen ebenfalls von der Zertifizierungsstelle ausgestellt werden, die auf der Liste der in Mozilla enthaltenen CA-Zertifikate steht.
Weitere Informationen zum Abrufen und Installieren eines Zertifikats finden Sie in der Dokumentation zu Ihrer HTTP-Server-Software und der Dokumentation, die von der Zertifizierungsstelle bereitgestellt wird.
AWS-Region for AWS Certificate Manager
Um ein Zertifikat in AWS Certificate Manager (ACM) zu verwenden, das HTTPS zwischen Zuschauern und erfordertCloudFront, stellen Sie sicher, dass Sie das Zertifikat in der Region USA Ost (Nord-Virginia) () anfordern (oder importierenus-east-1).
Wenn Sie HTTPS zwischen CloudFront und Ihrem Absender benötigen und Sie einen Load Balancer in Elastic Load Balancing als Absender verwenden, können Sie das Zertifikat in jedem beliebigen Land anfordern oder importieren. AWS-Region
Zertifikatformat
Das Zertifikat muss im X.509 PEM-Format vorliegen. Dies ist das Standardformat bei der Verwendung von AWS Certificate Manager.
Zwischenzertifikate
Wenn Sie eine Drittanbieter-Zertifizierungsstelle (CA) verwenden, müssen alle Zwischenzertifikate in der Zertifikatkette aufgelistet sein, die sich in der Datei .pem befinden, beginnend mit einem Zwischenzertifikat für die Zertifizierungsstelle, die das Zertifikat für Ihre Domäne signiert hat. In der Regel finden Sie eine Datei auf der Website der Zertifizierungsstelle, in der die Zwischen- und Stammzertifikate in der richtigen Reihenfolge aufgelistet sind.
Wichtig
Fügen Sie Folgendes nicht hinzu: das Stammzertifikat, Zwischenzertifikate, die sich nicht im Vertrauenspfad befinden, und das Public-Key-Zertifikat Ihrer CA.
Ein Beispiel:
-----BEGIN CERTIFICATE-----Intermediate certificate 2-----END CERTIFICATE----- -----BEGIN CERTIFICATE-----Intermediate certificate 1-----END CERTIFICATE-----
Schlüsseltyp
CloudFront unterstützt öffentlich-private RSA- und ECDSA-Schlüsselpaare.
CloudFront unterstützt HTTPS-Verbindungen sowohl zu Viewern als auch zu Ursprüngen mithilfe von RSA- und ECDSA-Zertifikaten. Mit AWS Certificate Manager
(ACM)
Eine Liste der RSA- und ECDSA-Chiffren, die von dieser Methode unterstützt werden, die Sie in HTTPS-Verbindungen aushandeln können CloudFront , finden Sie unter und. Unterstützte Protokolle und Chiffren zwischen Zuschauern und CloudFront Unterstützte Protokolle und Chiffren zwischen und dem Ursprung CloudFront
Privater Schlüssel
Bei Verwendung eines Zertifikats von einer Drittanbieter-Zertifizierungsstelle sind folgende Punkte zu beachten:
-
Der private Schlüssel muss dem öffentlichen Schlüssel des Zertifikats entsprechen.
-
Der private Schlüssel muss im PEM-Format vorliegen.
-
Der private Schlüssel kann nicht mit einem Passwort verschlüsselt werden.
Wenn AWS Certificate Manager (ACM) das Zertifikat bereitgestellt hat, gibt ACM den privaten Schlüssel nicht frei. Der private Schlüssel wird in ACM gespeichert und kann von AWS Diensten verwendet werden, die in ACM integriert sind.
Berechtigungen
Sie müssen die Erlaubnis haben, das Zertifikat zu verwenden und zu importieren. SSL/TLS Wenn Sie AWS Certificate Manager (ACM) verwenden, empfehlen wir, dass Sie AWS Identity and Access Management Berechtigungen verwenden, um den Zugriff auf die Zertifikate einzuschränken. Weitere Informationen finden Sie unter Identity and Access Management im AWS Certificate Manager -Benutzerhandbuch.
Länge des Zertifikatschlüssels
Die unterstützte Zertifikatsschlüsselgröße hängt vom Typ des Schlüssels und des Zertifikats ab. CloudFront
- Für RSA-Zertifikate:
-
CloudFront unterstützt 1024-Bit-, 2048-Bit-, 3072-Bit- und 4096-Bit-RSA-Schlüssel. Die maximale Schlüssellänge für ein RSA-Zertifikat, das Sie verwenden, beträgt 4096 Bit. CloudFront
Beachten Sie, dass ACM RSA-Zertifikate mit bis zu 2048-Bit-Schlüsseln ausstellt. Um ein 3072-Bit- oder 4096-Bit-RSA-Zertifikat zu verwenden, müssen Sie das Zertifikat extern beziehen und es in ACM importieren. Danach können Sie es verwenden. CloudFront
Informationen zum Ermitteln der Länge des RSA-Schlüssels finden Sie unter Ermitteln Sie die Größe des öffentlichen Schlüssels in einem SSL/TLS RSA-Zertifikat.
- Für ECDSA-Zertifikate:
-
CloudFront unterstützt 256-Bit- und 384-Bit-Schlüssel. Um ein ECDSA-Zertifikat in ACM zu verwenden, das HTTPS zwischen Viewern und erfordert, verwenden Sie die elliptische Kurve prime256v1 oder CloudFront secp384r1.
Unterstützte Typen von Zertifikaten
CloudFront unterstützt alle Arten von Zertifikaten, die von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurden.
Ablaufdatum des Zertifikats und Zertifikaterneuerung
Wenn Sie Zertifikate verwenden, die Sie von einer Drittanbieter-Zertifizierungsstelle (CA) erhalten, müssen Sie die Ablaufdaten der Zertifikate überwachen und die Zertifikate, die Sie in AWS Certificate Manager (ACM) importieren oder in den AWS Identity and Access Management Zertifikatsspeicher hochladen, erneuern, bevor sie ablaufen.
Wichtig
Probleme mit dem Ablauf von Zertifikaten vermeiden Sie, indem Sie Ihr Zertifikat mindestens 24 Stunden vor dem NotAfter-Wert Ihres aktuellen Zertifikats verlängern oder erneut importieren. Wenn Ihr Zertifikat innerhalb von 24 Stunden abläuft, fordern Sie ein neues Zertifikat von ACM an oder importieren Sie ein neues Zertifikat in ACM. Ordnen Sie als Nächstes das neue Zertifikat der CloudFront Distribution zu.
CloudFront verwendet möglicherweise weiterhin das vorherige Zertifikat, während Ihre Zertifikatsverlängerung oder Ihr erneuter Import ausgeführt wird. Dies ist ein asynchroner Vorgang, der bis zu 24 Stunden dauern kann, bis Ihre Änderungen CloudFront angezeigt werden.
Wenn Sie von ACM bereitgestellte Zertifikate verwenden, werden die Erneuerungen dieser Zertifikate von ACM verwaltet. Weitere Informationen finden Sie unter Verwaltete Erneuerung im AWS Certificate Manager -Benutzerhandbuch.
Domainnamen in der CloudFront Distribution und im Zertifikat
Wenn Sie eine benutzerdefinierte Herkunft verwenden, enthält das SSL/TLS Zertifikat für Ihre Herkunft einen Domainnamen im Feld Allgemeiner Name und möglicherweise mehrere weitere im Feld Alternative Betreffnamen. (CloudFront unterstützt Platzhalterzeichen in Zertifikatsdomänennamen.)
Einer der Domänennamen im Zertifikat muss mit dem Domänennamen übereinstimmen, den Sie in „Origin Domain Name (Ursprungsdomänenname)“ angeben. Wenn kein Domainname übereinstimmt, wird der HTTP-Statuscode 502 (Bad Gateway) an den Viewer CloudFront zurückgegeben.
Wichtig
Wenn Sie einer Distribution einen alternativen Domainnamen hinzufügen, wird CloudFront überprüft, ob der alternative Domainname durch das von Ihnen angehängte Zertifikat abgedeckt ist. Das Zertifikat muss den alternativen Domänennamen im Feld „Subject Alternate Name (SAN)“ des Zertifikats abdecken. Dies bedeutet, dass das SAN-Feld eine exakte Übereinstimmung mit dem alternativen Domänennamen oder einen Platzhalter auf der gleichen Ebene des alternativen Domänennamens enthalten muss, den Sie hinzufügen.
Weitere Informationen finden Sie unter Voraussetzungen für die Verwendung von alternativen Domänennamen.
Minimale SSL/TLS Protokollversion
Wenn Sie dedizierte IP-Adressen verwenden, legen Sie die SSL/TLS Mindestprotokollversion für die Verbindung zwischen Zuschauern fest und CloudFront wählen Sie eine Sicherheitsrichtlinie.
Weitere Informationen finden Sie Sicherheitsrichtlinie ( SSL/TLS Mindestversion) im Thema Referenz für alle Distributionseinstellungen.
Unterstützte HTTP-Versionen
Wenn Sie ein Zertifikat mehreren CloudFront Distributionen zuordnen, müssen alle mit dem Zertifikat verknüpften Distributionen dieselbe Option für Unterstützte HTTP-Versionen verwenden. Sie geben diese Option an, wenn Sie eine CloudFront Distribution erstellen oder aktualisieren.
