Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Génération et configuration d'un SSL certificat pour l'authentification du backend dans Gateway API

Vous pouvez utiliser API Gateway pour générer un SSL certificat, puis utiliser sa clé publique dans le backend pour vérifier que les HTTP demandes adressées à votre système principal proviennent de API Gateway. Cela permet à votre HTTP backend de contrôler et d'accepter uniquement les demandes provenant d'Amazon API Gateway, même si le backend est accessible au public.

Les SSL certificats générés par API Gateway sont auto-signés, et seule la clé publique d'un certificat est visible dans la console API Gateway ou via leAPIs.

Génération d'un certificat client à l'aide de la console API Gateway

Vous êtes maintenant prêt à configurer et API à utiliser le certificat.

Configurer et API utiliser des SSL certificats

Ces instructions supposent que vous avez déjà terminé Génération d'un certificat client à l'aide de la console API Gateway.

Une fois qu'un certificat est sélectionné pour API et enregistré, API Gateway utilise le certificat pour tous les appels vers les HTTP intégrations dans votreAPI.

Appel de test pour vérifier la configuration de certificat client

APIGateway présente le SSL certificat choisi pour que le HTTP backend authentifie le. API

Configuration d'un HTTPS serveur principal pour vérifier le certificat client

Ces instructions supposent que vous avez déjà terminé Génération d'un certificat client à l'aide de la console API Gateway et téléchargé une copie du certificat client. Vous pouvez télécharger un certificat client en appelant clientcertificate:by-idla API passerelle REST API ou get-client-certificatele AWS CLI.

Avant de configurer un HTTPS serveur principal pour vérifier le SSL certificat client de API Gateway, vous devez avoir obtenu la clé privée PEM codée et un certificat côté serveur fourni par une autorité de certification fiable.

Si le nom de domaine du serveur estmyserver.mydomain.com, la CNAME valeur du certificat de serveur doit être myserver.mydomain.com ou*.mydomain.com.

Les autorités de certification prises en charge comprennent Let's Encrypt ou l'une des APIAutorités de certification prises en charge par Gateway HTTP et intégrations de HTTP proxy dans Gateway API.

Par exemple, supposons que le fichier de certificat client est apig-cert.pem et que les fichiers de clé privée et de certificat du serveur sont server-key.pem et server-cert.pem, respectivement. Pour un serveur Node.js dans le backend, vous pouvez configurer le serveur comme suit :

var fs = require('fs'); 
var https = require('https');
var options = { 
    key: fs.readFileSync('server-key.pem'), 
    cert: fs.readFileSync('server-cert.pem'), 
    ca: fs.readFileSync('apig-cert.pem'), 
    requestCert: true, 
    rejectUnauthorized: true
};
https.createServer(options, function (req, res) { 
    res.writeHead(200); 
    res.end("hello world\n"); 
}).listen(443);

Pour une application Node Express, vous pouvez utiliser les client-certificate-authmodules pour authentifier les demandes des clients à l'aide de certificats PEM codés.

Pour les autres HTTPS serveurs, consultez la documentation du serveur.

Rotation d'un certificat client arrivant à expiration

Le certificat client généré par API Gateway est valide pendant 365 jours. Vous devez effectuer une rotation du certificat avant qu'un certificat client n'expire sur une API scène afin d'éviter toute interruption de service pour leAPI. Vous pouvez vérifier la date d'expiration du certificat en appelant:by-id clientCertificatede la passerelle API ou en exécutant la commande AWS CLI et en get-client-certificateinspectant REST API la propriété renvoyée. expirationDate

Pour faire pivoter un certificat client, procédez comme suit :

Pour faire pivoter un certificat client dans la console pour un certificat précédemment déployéAPI, procédez comme suit :