Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Vertrauensspeicher und Zertifikatsverwaltung

Das Erstellen und Konfigurieren eines Trust Stores ist eine zwingende Voraussetzung für die Implementierung der gegenseitigen TLS-Authentifizierung mit CloudFront. Trust Stores enthalten die Zertifikate der Zertifizierungsstelle (CA), die zur Validierung von Client-Zertifikaten während des Authentifizierungsprozesses CloudFront verwendet werden.

Was ist ein Trust Store?

Ein Trust Store ist ein Repository mit CA-Zertifikaten, das zur Validierung von Client-Zertifikaten bei der gegenseitigen TLS-Authentifizierung CloudFront verwendet wird. Trust Stores enthalten die Stamm- und Zwischenzertifikate der CA, die die Vertrauenskette für die Authentifizierung von Client-Zertifikaten bilden.

Wenn Sie Mutual TLS mit implementieren CloudFront, definiert der Trust Store, welchen Zertifizierungsstellen Sie vertrauen, dass sie gültige Client-Zertifikate ausstellen. CloudFront validiert jedes Client-Zertifikat während des TLS-Handshakes anhand Ihres Trust Stores. Nur Clients, die Zertifikate vorlegen, die mit einer der CAs in Ihrem Trust Store verknüpft sind, werden erfolgreich authentifiziert.

Trust Stores in CloudFront sind Ressourcen auf Kontoebene, die Sie mehreren Verteilungen zuordnen können. Auf diese Weise können Sie in Ihrer gesamten CloudFront Bereitstellung konsistente Richtlinien zur Zertifikatsvalidierung einhalten und gleichzeitig die Verwaltung von CA-Zertifikaten vereinfachen.

Unterstützung durch Zertifizierungsstellen

CloudFront unterstützt Zertifikate, die sowohl von AWS privaten Zertifizierungsstellen als auch von privaten Zertifizierungsstellen von Drittanbietern ausgestellt wurden. Diese Flexibilität ermöglicht es Ihnen, Ihre bestehende Zertifikatsinfrastruktur zu nutzen oder AWS verwaltete Zertifikatsdienste zu nutzen, die Ihren Unternehmensanforderungen entsprechen.

Anforderungen und Spezifikationen des Zertifikats

Trust Stores haben bestimmte Anforderungen an die CA-Zertifikate, die sie enthalten:

Anforderungen an das CA-Zertifikatsformat

Unterstützte Zertifikatsspezifikationen

Beispiel für ein Zertifikatspaketformat

Mehrere Zertifikate (PEM-encoded):

# Root CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqiMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----
# Intermediate CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqjMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----

Erstellen Sie einen Vertrauensspeicher

Bevor Sie einen Trust Store erstellen, müssen Sie Ihr CA-Zertifikatspaket im PEM-Format in einen Amazon S3-Bucket hochladen. Das Zertifikatspaket sollte alle vertrauenswürdigen Stamm- und Zwischenzertifikate der Zertifizierungsstelle enthalten, die zur Validierung Ihrer Client-Zertifikate erforderlich sind.

Das CA-Zertifikatspaket wird nur einmal aus S3 gelesen, wenn ein Trust Store erstellt wird. Wenn zukünftige Änderungen am CA-Zertifikatspaket vorgenommen werden, muss der Trust Store manuell aktualisiert werden. Zwischen dem Trust Store und dem S3-CA-Zertifikatspaket wird keine Synchronisation aufrechterhalten.

Voraussetzungen

Um einen Trust Store (Konsole) zu erstellen

Um einen Trust Store zu erstellen (AWS CLI)

aws cloudfront create-trust-store \
  --name MyTrustStore \
  --ca-certificates-bundle-source '{"CaCertificatesBundleS3Location":{"Bucket":"my-bucket","Key":"ca-bundle.pem","Region":"bucket-region"}}' \
  --tags Items=[{Key=Environment,Value=Production}]

Verknüpfen Sie den Trust Store mit Distributionen

Nachdem Sie einen Trust Store erstellt haben, müssen Sie ihn einer CloudFront Distribution zuordnen, um die gegenseitige TLS-Authentifizierung zu ermöglichen.

Voraussetzungen

Um einen Trust Store zuzuordnen (Konsole)

Es gibt zwei Möglichkeiten, einen Trust Store innerhalb der CloudFront Konsole zuzuordnen: über die Seite mit den Trust Store-Details oder über die Seite mit den Verteilungseinstellungen.

Einen Trust Store über die Trust Store-Detailseite zuordnen:

Zuordnen eines Trust Stores über die Seite mit den Verteilungseinstellungen:

Um einen Trust Store zuzuordnen (AWS CLI)

Trust Stores können über die DistributionConfig.ViewerMtlsConfig Eigenschaft Distributionen zugeordnet werden. Das bedeutet, dass wir zuerst die Distributionskonfiguration abrufen und sie dann ViewerMtlsConfig in einer nachfolgenden UpdateDistribution Anfrage bereitstellen müssen.

// First fetch the distribution
aws cloudfront get-distribution {DISTRIBUTION_ID}

// Update the distribution config, for example:
Distribution config, file://distConf.json: 
{
  ...other fields,
  ViewerMtlsConfig: {
    Mode: 'required',
    TrustStoreConfig: {
        AdvertiseTrustStoreCaNames: false,
        IgnoreCertificateExpiry: true,
        TrustStoreId: {TRUST_STORE_ID}
    }
  }
}

aws cloudfront update-distribution \
   --id {DISTRIBUTION_ID} \
   --if-match {ETAG} \
   --distribution-config file://distConf.json

Vertrauensspeicher verwalten

Details zum Trust Store anzeigen

Die Detailseite zeigt:

Ändern Sie einen Trust Store

So ersetzen Sie das CA-Zertifikatspaket:

Löschen Sie einen Trust Store

Voraussetzungen: Sie müssen zuerst den Trust Store von allen CloudFront Distributionen trennen.

Nächste Schritte

Nachdem Sie Ihren Trust Store erstellt und einer CloudFront Distribution zugeordnet haben, können Sie damit fortfahren, die gegenseitige TLS-Authentifizierung für Ihre Distribution zu aktivieren und zusätzliche Einstellungen wie die Weiterleitung von Zertifikats-Headern an Ihre Ursprünge zu konfigurieren. Eine ausführliche Anleitung zur Aktivierung von mTLS auf Ihren Distributionen finden Sie unter. Aktivieren Sie gegenseitiges TLS für Distributionen CloudFront