View a markdown version of this page

Objet x-amazon-apigateway-integration.tlsConfig - Amazon API Gateway
Exemples x-amazon-apigateway-integration.tlsConfig

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Objet x-amazon-apigateway-integration.tlsConfig

Spécifie la configuration TLS pour une intégration.

Nom de la propriété Type Description
insecureSkipVerification Boolean

Prise en charge uniquement pour les API REST. Spécifie si API Gateway vérifie ou non si le certificat d’un point de terminaison d’intégration est émis par une autorité de certification prise en charge. Ceci n’est pas recommandé, mais il vous permet d’utiliser des certificats signés par des autorités de certification privées ou des certificats auto-signés. Si cette option est activée, API Gateway effectue toujours la validation de base du certificat, qui comprend la vérification de la date d'expiration du certificat, du nom d'hôte, de la présence d'une autorité de certification racine et de l'intégrité de la chaîne de certificats. La validation de la chaîne de certificats inclut l'application des contraintes de nom X509v3. Si vous rencontrez des erreurs de validation lorsque cette insecureSkipVerification option est activée, vérifiez que vos certificats CA n'incluent pas d'extensions Name Constraints, ou réémettez-les sans cette extension. Le certificat racine appartenant à l’autorité privée doit satisfaire les contraintes suivantes :

  • L'extension x509 keyUsage doit avoir keyCertSign.

  • L'extension x509 basicConstraints doit avoir CA:TRUE.

Prise en charge uniquement pour les intégrations HTTP et HTTP_PROXY.

Avertissement

L’activation de insecureSkipVerification n’est pas recommandée, en particulier pour les intégrations avec des points de terminaison HTTPS publics. Si vous activez insecureSkipVerification, vous augmentez le risque d’attaques de type homme du milieu (HDM).
serverNameToVerify string

Prise en charge uniquement pour les intégrations privées de l’API HTTP. Si vous spécifiez un nom de serveur, API Gateway l’utilise pour vérifier le nom d’hôte sur le certificat de l’intégration. Le nom du serveur est également inclus dans la poignée de main TLS pour prendre en charge l’indication de nom de serveur (SNI) ou l’hébergement virtuel.

Exemples x-amazon-apigateway-integration.tlsConfig

L’exemple OpenAPI 3.0 suivant active insecureSkipVerification pour une intégration de proxy HTTP d’API REST.

"x-amazon-apigateway-integration": {
  "uri": "http://petstore-demo-endpoint.execute-api.com/petstore/pets",
  "responses": {
     default": {
       "statusCode": "200"
      }
  },
  "passthroughBehavior": "when_no_match",
  "httpMethod": "ANY",
  "tlsConfig" : {
    "insecureSkipVerification" : true
  }
  "type": "http_proxy",
}

L’exemple OpenAPI 3.0 suivant spécifie un élément serverNameToVerify pour une intégration privée d’API HTTP.

"x-amazon-apigateway-integration" : {
  "payloadFormatVersion" : "1.0",
  "connectionId" : "abc123",
  "type" : "http_proxy",
  "httpMethod" : "ANY",
  "uri" : "arn:aws:elasticloadbalancing:us-west-2:123456789012:listener/app/my-load-balancer/50dc6c495c0c9188/0467ef3c8400ae65",
  "connectionType" : "VPC_LINK",
  "tlsConfig" : {
     "serverNameToVerify" : "example.com"
  }
}