Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Trust stores et gestion des certificats

La création et la configuration d'un magasin de confiance sont obligatoires pour implémenter l'authentification TLS mutuelle avec CloudFront. Les magasins de confiance contiennent les certificats d'autorité de certification (CA) CloudFront utilisés pour valider les certificats clients lors du processus d'authentification.

Qu'est-ce qu'un trust store ?

Un trust store est un référentiel de certificats CA CloudFront utilisé pour valider les certificats clients lors de l'authentification TLS mutuelle. Les magasins de confiance contiennent les certificats CA racine et intermédiaire qui constituent la chaîne de confiance pour l'authentification des certificats clients.

Lorsque vous implémentez un protocole TLS mutuel avec CloudFront, le magasin de confiance définit les autorités de certification auxquelles vous faites confiance pour émettre des certificats clients valides. CloudFront valide chaque certificat client auprès de votre boutique de confiance lors de la prise de contact TLS. Seuls les clients présentant des certificats liés à l'une des autorités de certification de votre boutique de confiance seront authentifiés avec succès.

Les magasins Trust CloudFront sont des ressources au niveau du compte que vous pouvez associer à plusieurs distributions. Cela vous permet de maintenir des politiques de validation des certificats cohérentes sur l'ensemble de votre CloudFront déploiement tout en simplifiant la gestion des certificats CA.

Assistance aux autorités de certification

CloudFront prend en charge les certificats émis à la fois par une autorité de certification AWS privée et par des autorités de certification privées tierces. Cette flexibilité vous permet d'utiliser votre infrastructure de certificats existante ou de tirer parti des services de certificats AWS gérés en fonction des besoins de votre organisation.

Exigences et spécifications relatives aux certificats

Les Trust Stores ont des exigences spécifiques concernant les certificats CA qu'ils contiennent :

Exigences relatives au format des certificats CA

Spécifications des certificats pris en charge

Exemple de format de bundle de certificats

Certificats multiples (PEM-encoded) :

# Root CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqiMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----
# Intermediate CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqjMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----

Créez une boutique de confiance

Avant de créer un trust store, vous devez télécharger votre bundle de certificats CA au format PEM dans un compartiment Amazon S3. Le bundle de certificats doit contenir tous les certificats CA racine et intermédiaire fiables nécessaires pour valider vos certificats clients.

Le bundle de certificats CA n'est lu qu'une seule fois depuis S3 lors de la création d'un magasin de confiance. Si de futures modifications sont apportées au bundle de certificats CA, le Trust Store devra être mis à jour manuellement. Aucune synchronisation n'est maintenue entre le Trust Store et le bundle de certificats S3 CA.

Conditions préalables

Pour créer une boutique de confiance (console)

Pour créer une boutique de confiance (AWS CLI)

aws cloudfront create-trust-store \
  --name MyTrustStore \
  --ca-certificates-bundle-source '{"CaCertificatesBundleS3Location":{"Bucket":"my-bucket","Key":"ca-bundle.pem","Region":"bucket-region"}}' \
  --tags Items=[{Key=Environment,Value=Production}]

Associer Trust Store aux distributions

Après avoir créé un magasin de confiance, vous devez l'associer à une CloudFront distribution pour activer l'authentification TLS mutuelle.

Conditions préalables

Pour associer un Trust Store (console)

Il existe deux manières d'associer un Trust Store dans la CloudFront console : via la page des détails du Trust Store ou via la page des paramètres de distribution.

Associer un Trust Store via la page de détails du Trust Store :

Associer un trust store via la page des paramètres de distribution :

Pour associer une boutique de confiance (AWS CLI)

Les magasins fiduciaires peuvent être associés à des distributions via la DistributionConfig.ViewerMtlsConfig propriété. Cela signifie que nous devons d'abord récupérer la configuration de distribution, puis la fournir ViewerMtlsConfig dans une UpdateDistribution demande ultérieure.

// First fetch the distribution
aws cloudfront get-distribution {DISTRIBUTION_ID}

// Update the distribution config, for example:
Distribution config, file://distConf.json: 
{
  ...other fields,
  ViewerMtlsConfig: {
    Mode: 'required',
    TrustStoreConfig: {
        AdvertiseTrustStoreCaNames: false,
        IgnoreCertificateExpiry: true,
        TrustStoreId: {TRUST_STORE_ID}
    }
  }
}

aws cloudfront update-distribution \
   --id {DISTRIBUTION_ID} \
   --if-match {ETAG} \
   --distribution-config file://distConf.json

Gérez les boutiques de confiance

Afficher les détails du Trust Store

La page de détails présente :

Modifier un trust store

Pour remplacer le bundle de certificats CA :

Supprimer un trust store

Prérequis : Vous devez d'abord dissocier le Trust Store de toutes les CloudFront distributions.

Étapes suivantes

Après avoir créé et associé votre Trust Store à une CloudFront distribution, vous pouvez activer l'authentification TLS mutuelle sur votre distribution et configurer des paramètres supplémentaires tels que le transfert des en-têtes de certificat vers vos origines. Pour obtenir des instructions détaillées sur l'activation des mTLS sur vos distributions, consultezActiver le protocole TLS mutuel pour les distributions CloudFront.