Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Gegenseitige TLS-Authentifizierung mit CloudFront (Viewer mTLS)
Die gegenseitige TLS-Authentifizierung (Mutual Transport Layer Security Authentication — mTLS) ist ein Sicherheitsprotokoll, das die Standard-TLS-Authentifizierung um eine bidirektionale zertifikatsbasierte Authentifizierung erweitert, bei der sowohl Client als auch Server ihre Identität nachweisen müssen, bevor eine sichere Verbindung hergestellt werden kann. Mithilfe von gegenseitigem TLS können Sie sicherstellen, dass nur Clients mit vertrauenswürdigen TLS-Zertifikaten Zugriff auf Ihre Distributionen erhalten. CloudFront
Funktionsweise
Bei einem Standard-TLS-Handshake legt nur der Server dem Client ein Zertifikat vor, um seine Identität nachzuweisen. Bei gegenseitigem TLS wird der Authentifizierungsprozess bidirektional. Wenn ein Client versucht, eine Verbindung zu Ihrer CloudFront Distribution herzustellen, CloudFront fordert er während des TLS-Handshakes ein Client-Zertifikat an. Der Client muss ein gültiges X.509 Zertifikat vorlegen, das anhand Ihres konfigurierten Trust Stores CloudFront validiert wird, bevor die sichere Verbindung hergestellt werden kann.
CloudFront führt diese Zertifikatsvalidierung an AWS Edge-Standorten durch, wodurch die Komplexität der Authentifizierung von Ihren Ursprungsservern entlastet wird und gleichzeitig die globalen CloudFront Leistungsvorteile erhalten bleiben. Sie können mTLS in drei Modi konfigurieren:
-
Erforderlicher Modus (Standard) — CloudFront validiert das Client-Zertifikat anhand eines Trust Stores. Wenn die Validierung fehlschlägt oder kein Zertifikat vorgelegt wird, wird die CloudFront Verbindung verweigert. Verwenden Sie den Modus „Erforderlich“, wenn sich jeder Client mit einem gültigen Zertifikat authentifizieren muss.
-
Optionaler Modus — CloudFront validiert das Client-Zertifikat, falls eines vorgelegt wird, erlaubt aber Verbindungen ohne Zertifikat. Zertifikatsmetadaten sind in den Verbindungsfunktionen und in den HTTP-Headern verfügbar, sodass Ihre Herkunft Autorisierungsentscheidungen treffen kann. Verwenden Sie den optionalen Modus, wenn Sie sowohl authentifizierte als auch nicht authentifizierte Clients unterstützen.
-
Passthrough-Modus — CloudFront das Client-Zertifikat wird nicht anhand eines Trust Stores validiert. CloudFront bestätigt nur, dass der Client den entsprechenden privaten Schlüssel besitzt. Es leitet das Zertifikat als HTTP-Header an Ihren Ursprung weiter, damit Ihr Ursprung die Validierung durchführen kann. Es ist kein Trust Store erforderlich und es findet kein Caching statt. Verwenden Sie den Passthrough-Modus, wenn Sie an Ihrem Ursprung bereits mTLS-Implementierungen haben.
Anwendungsfälle
Gegenseitige TLS-Authentifizierung mit Lösungen CloudFront für mehrere kritische Sicherheitsszenarien, in denen herkömmliche Authentifizierungsmethoden nicht ausreichen:
-
Geräteauthentifizierung mit Inhalts-Caching — Sie können Spielekonsolen, IoT-Geräte oder Unternehmenshardware authentifizieren, bevor Sie Zugriff auf Firmware-Updates, Spiele-Downloads oder interne Ressourcen gewähren. Jedes Gerät enthält ein einzigartiges Zertifikat, das seine Echtheit nachweist und gleichzeitig von den CloudFront Caching-Funktionen profitiert.
-
API-to-API Authentifizierung — Sie können die Kommunikation von Maschine zu Maschine zwischen vertrauenswürdigen Geschäftspartnern, Zahlungssystemen oder Mikrodiensten sichern. Certificate-based Die Authentifizierung macht gemeinsame Geheimnisse oder API-Schlüssel überflüssig und bietet gleichzeitig eine starke Identitätsprüfung für den automatisierten Datenaustausch.
Themen
