Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ordnen Sie eine CloudFront Verbindungsfunktion zu

CloudFront Mit den Verbindungsfunktionen können Sie bei TLS-Handshakes eine benutzerdefinierte Logik zur Zertifikatsvalidierung implementieren und so die integrierten mTLS-Authentifizierungsfunktionen erweitern.

Was sind Verbindungsfunktionen?

Verbindungsfunktionen sind JavaScript Funktionen, die während des TLS-Handshakes ausgeführt werden, nachdem die Client-Zertifikate validiert wurden. Das validierte Client-Zertifikat wird an die Verbindungsfunktion übergeben. An diesem Punkt kann die Verbindungsfunktion zusätzlich entscheiden, ob der Zugriff gewährt werden soll oder nicht. Ausführliche Informationen zu den Verbindungsfunktionen finden Sie unterPersonalisieren Sie am Rand mit CloudFront Funktionen.

So funktionieren Verbindungsfunktionen mit mTLs

Wenn ein Client versucht, eine mTLS-Verbindung zu Ihrer CloudFront Distribution herzustellen, läuft die folgende Reihenfolge ab:

Verbindungsfunktionen werden sowohl für den Überprüfungsmodus als auch für den optionalen Modus (wenn Clients Zertifikate vorlegen) aufgerufen.

Erstellen Sie eine Verbindungsfunktion

Sie können Verbindungsfunktionen mithilfe der CloudFront Konsole oder der AWS CLI erstellen.

So erstellen Sie eine Verbindungsfunktion (Konsole)

Um eine Verbindungsfunktion zu erstellen (AWS CLI)

Das folgende Beispiel zeigt, wie eine Verbindungsfunktion erstellt wird:

Schreiben Sie Ihren Funktionscode in eine separate Datei, zum Beispiel code.js:

function connectionHandler(connection) {
  connection.allow();
}

aws cloudfront create-connection-function \
  --name "certificate-validator" \
  --connection-function-config '{
      "Comment": "Client certificate validation function",
      "Runtime": "cloudfront-js-2.0"
  }' \
  --connection-function-code fileb://code.js

Struktur des Verbindungsfunktionscodes

Verbindungsfunktionen implementieren die ConnectionHandler-Funktion, die ein Verbindungsobjekt empfängt, das Zertifikat und Verbindungsinformationen enthält. Ihre Funktion muss entweder connection.allow() oder verwendenconnection.deny(), um eine Entscheidung über die Verbindung zu treffen.

Beispiel für eine grundlegende Verbindungsfunktion

Das folgende Beispiel zeigt eine einfache Verbindungsfunktion, die das Betrefffeld von Client-Zertifikaten überprüft:

function connectionHandler(connection) {
    // Only process if a certificate was presented
    if (!connection.clientCertificate) {
        console.log("No certificate presented");
        connection.deny();
    }
    
    // Check the subject field for specific organization
    const subject = connection.clientCertificate.certificates.leaf.subject;
    if (!subject.includes("O=ExampleCorp")) {
        console.log("Certificate not from authorized organization");
       connection.deny();
    } else {
        // All checks passed
        console.log("Certificate validation passed");
        connection.allow();
    }
}

Die vollständige Spezifikation der Eigenschaften des Client-Zertifikats, die für das Verbindungsobjekt verfügbar sind, finden Sie hier:

{
  "connectionId": "Fdb-Eb7L9gVn2cFakz7wWyBJIDAD4-oNO6g8r3vXDV132BtnIVtqDA==", // Unique identifier for this TLS connection
  "clientIp": "203.0.113.42", // IP address of the connecting client (IPv4 or IPv6)
  "clientCertificate": {
    "certificates": {
      "leaf": {
        "serialNumber": "4a:3f:5c:92:d1:e8:7b:6c", // Unique serial number assigned by the issuing CA (hexadecimal)
        "issuer": "CN=Example Corp Intermediate CA,O=Example Corp,C=US", // Distinguished Name (DN) of the certificate authority that issued this certificate.
        "subject": "CN=client.example.com,O=Example Corp,C=US", // Distinguished Name (DN) of the certificate holder.
        "validity": {
          "notBefore": "2024-01-15T00:00:00Z", // Certificate validity start date (ISO 8601 format)
          "notAfter": "2025-01-14T23:59:59Z"   // Certificate expiration date (ISO 8601 format)
        },
        "sha256Fingerprint": "a1b2c3d4e5f6...abc123def456", // SHA-256 hash of the certificate (64 hex characters)
        "ocspEndpoint": "http://ocsp.example.com", // OCSP responder URL from the certificate's AIA extension.
        "san": "DNS:client.example.com,DNS:api.example.com", // Subject Alternative Names.
        "spki": "30820122300d06092a864886f70d01010105000382010f003082010a0282010100...", // Subject Public Key Info (DER-encoded, hex).
        "sanHex": "3032820f636c69656e742e6578616d706c652e636f6d820f6170692e6578616d706c652e636f6d..." // Subject Alternative Names (DER-encoded, hex).
      },
      "intermediates": [
        {
          "serialNumber": "00:d4:04:a5:fd:cb:20:37:54", // Serial number of the intermediate certificate.
          "issuer": "CN=Example Corp Root CA,O=Example Corp,C=US", // Issuer of the intermediate certificate.
          "subject": "CN=Example Corp Intermediate CA,O=Example Corp,C=US", // Subject of the intermediate certificate.
          "validity": {
            "notBefore": "2020-01-01T00:00:00Z",
            "notAfter": "2030-01-01T23:59:59Z"
          },
          "sha256Fingerprint": "b2c3d4e5f6a1...def456abc123",
          "ocspEndpoint": "http://ocsp.example.com/intermediate",
          "san": "DNS:ca.example.com",
          "spki": "30820122300d06092a864886f70d01010105000382010f003082010a0282010100b389dd513b...",
          "sanHex": "3015820d63612e6578616d706c652e636f6d..."
        }
      ]
    }
  }
}

Ordnen Sie eine Verbindungsfunktion zu

Nachdem Sie Ihre Verbindungsfunktion erstellt haben, müssen Sie sie auf der LIVE-Bühne veröffentlichen und Ihrer Distribution zuordnen.

Um eine Verbindungsfunktion zu veröffentlichen und zuzuordnen (Konsole)

Alternativ können veröffentlichte Verbindungsfunktionen auch von der Seite mit den Distributionsdetails aus verknüpft werden.

Um eine Verbindungsfunktion zuzuordnen (AWS CLI)

Das folgende Beispiel zeigt, wie eine Verbindungsfunktion einer Verteilung zugeordnet wird:

// DistributionConfig:
{
   ...other settings,
    "ConnectionFunctionAssociation": {
        "Id": "cf_30c2CV2elHwCoInb3LtcaUJkZeD"
    }
}
                

Anwendungsfälle für Verbindungsfunktionen

Verbindungsfunktionen ermöglichen mehrere erweiterte mTLS-Anwendungsfälle:

Nächste Schritte

Nachdem Sie Ihrer CloudFront Distribution eine Verbindungsfunktion zugeordnet haben, können Sie optionale Einstellungen konfigurieren, um das Verhalten Ihrer mTLS-Implementierung anzupassen. Eine ausführliche Anleitung zur Konfiguration zusätzlicher Einstellungen, wie z. B. eines optionalen Client-Zertifikatsvalidierungsmodus, finden Sie unter. Konfiguration zusätzlicher Einstellungen