Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Toko kepercayaan dan manajemen sertifikat

Membuat dan mengonfigurasi penyimpanan kepercayaan adalah persyaratan wajib untuk menerapkan otentikasi TLS bersama dengan CloudFront. Toko kepercayaan berisi sertifikat Otoritas Sertifikat (CA) yang digunakan CloudFront untuk memvalidasi sertifikat klien selama proses otentikasi.

Apa itu toko kepercayaan?

Penyimpanan kepercayaan adalah repositori sertifikat CA yang CloudFront digunakan untuk memvalidasi sertifikat klien selama otentikasi TLS bersama. Toko kepercayaan berisi sertifikat CA root dan perantara yang membentuk rantai kepercayaan untuk mengotentikasi sertifikat klien.

Saat Anda menerapkan TLS bersama CloudFront, penyimpanan kepercayaan menentukan Otoritas Sertifikat mana yang Anda percayai untuk mengeluarkan sertifikat klien yang valid. CloudFront memvalidasi setiap sertifikat klien terhadap toko kepercayaan Anda selama jabat tangan TLS. Hanya klien yang menyajikan sertifikat yang dirantai ke salah satu CA di toko kepercayaan Anda yang akan berhasil diautentikasi.

Toko kepercayaan CloudFront adalah sumber daya tingkat akun yang dapat Anda kaitkan dengan beberapa distribusi. Hal ini memungkinkan Anda mempertahankan kebijakan validasi sertifikat yang konsisten di seluruh CloudFront penerapan Anda sambil menyederhanakan pengelolaan sertifikat CA.

Dukungan Otoritas Sertifikat

CloudFront mendukung sertifikat yang dikeluarkan oleh Otoritas Sertifikat Pri AWS badi dan Otoritas Sertifikat swasta pihak ketiga. Fleksibilitas ini memungkinkan Anda untuk menggunakan infrastruktur sertifikat yang ada atau AWS memanfaatkan layanan sertifikat terkelola berdasarkan persyaratan organisasi Anda.

Persyaratan dan spesifikasi sertifikat

Toko kepercayaan memiliki persyaratan khusus untuk sertifikat CA yang dikandungnya:

Persyaratan format sertifikat CA

Spesifikasi sertifikat yang didukung

Contoh format bundel sertifikat

Beberapa sertifikat (PEM-encoded):

# Root CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqiMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----
# Intermediate CA Certificate
-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKoK/OvD/XqjMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
BAYTAkFVMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJbnRlcm5ldCBX
aWRnaXRzIFB0eSBMdGQwHhcNMTcwNzEyMTU0NzQ4WhcNMjcwNzEwMTU0NzQ4WjBF
MQswCQYDVQQGEwJBVTETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50
ZXJuZXQgV2lkZ2l0cyBQdHkgTHRkMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIB
CgKCAQEAuuExKvY1xzHFylsHiuowqpmzs7rEcuuylOuEszpFp+BtXh0ZuEtts9LP
-----END CERTIFICATE-----

Buat toko kepercayaan

Sebelum membuat penyimpanan kepercayaan, Anda harus mengunggah bundel sertifikat CA dalam format PEM ke bucket Amazon S3. Bundel sertifikat harus berisi semua sertifikat CA root dan perantara tepercaya yang diperlukan untuk memvalidasi sertifikat klien Anda.

Bundel sertifikat CA hanya dibaca sekali dari S3 saat membuat penyimpanan kepercayaan. Jika perubahan di masa mendatang dilakukan pada bundel sertifikat CA, maka penyimpanan kepercayaan harus diperbarui secara manual. Tidak ada sinkronisasi yang dipertahankan antara penyimpanan kepercayaan dan bundel sertifikat CA S3.

Prasyarat

Untuk membuat toko kepercayaan (Konsol)

Untuk membuat toko kepercayaan (AWS CLI)

aws cloudfront create-trust-store \
  --name MyTrustStore \
  --ca-certificates-bundle-source '{"CaCertificatesBundleS3Location":{"Bucket":"my-bucket","Key":"ca-bundle.pem","Region":"bucket-region"}}' \
  --tags Items=[{Key=Environment,Value=Production}]

Mengaitkan toko kepercayaan dengan distribusi

Setelah membuat penyimpanan kepercayaan, Anda harus mengaitkannya dengan CloudFront distribusi untuk mengaktifkan otentikasi TLS bersama.

Prasyarat

Untuk mengaitkan penyimpanan kepercayaan (Konsol)

Ada dua cara untuk mengaitkan toko kepercayaan di dalam CloudFront konsol: melalui halaman detail toko kepercayaan atau melalui halaman pengaturan distribusi.

Mengaitkan toko kepercayaan melalui halaman detail toko kepercayaan:

Mengaitkan toko kepercayaan melalui halaman pengaturan distribusi:

Untuk mengaitkan toko kepercayaan (AWS CLI)

Toko kepercayaan dapat dikaitkan dengan distribusi melalui DistributionConfig.ViewerMtlsConfig properti. Ini berarti pertama-tama kita perlu mengambil konfigurasi distribusi dan kemudian memberikan UpdateDistribution permintaan berikutnya. ViewerMtlsConfig

// First fetch the distribution
aws cloudfront get-distribution {DISTRIBUTION_ID}

// Update the distribution config, for example:
Distribution config, file://distConf.json: 
{
  ...other fields,
  ViewerMtlsConfig: {
    Mode: 'required',
    TrustStoreConfig: {
        AdvertiseTrustStoreCaNames: false,
        IgnoreCertificateExpiry: true,
        TrustStoreId: {TRUST_STORE_ID}
    }
  }
}

aws cloudfront update-distribution \
   --id {DISTRIBUTION_ID} \
   --if-match {ETAG} \
   --distribution-config file://distConf.json

Kelola toko kepercayaan

Lihat detail toko kepercayaan

Halaman detail menunjukkan:

Memodifikasi toko kepercayaan

Untuk mengganti bundel sertifikat CA:

Menghapus toko kepercayaan

Prasyarat: Anda harus terlebih dahulu memisahkan penyimpanan kepercayaan dari semua CloudFront distribusi.

Langkah selanjutnya

Setelah membuat dan mengaitkan penyimpanan kepercayaan Anda dengan CloudFront distribusi, Anda dapat melanjutkan untuk mengaktifkan otentikasi TLS bersama pada distribusi Anda dan mengonfigurasi pengaturan tambahan seperti meneruskan header sertifikat ke sumber Anda. Untuk petunjuk terperinci tentang mengaktifkan MTL pada distribusi Anda, lihatAktifkan TLS bersama untuk distribusi CloudFront.