HTTP

PDF

RSS

聚焦模式

HTTP - AWS SDK for Rust

选择备用 TLS 提供商启用 FIPS 支持优先考虑后量子密钥交换覆盖 DNS 解析器自定义根 CA 证书

AWS SDK for Rust 提供了内置 HTTP 功能，供您在代码中创建的 AWS 服务客户端使用。

默认情况下，适用于 Rust 的 SDK 使用基于hyperrustls、和的 HTTPS 客户端aws-lc-rs。该客户端应该可以很好地适用于大多数用例，而无需进行其他配置。

hyper是 Rust 的较低级别 HTTP 库，可以与一起使用 AWS SDK for Rust 来调用 API 服务。
rustls是一个用 Rust 编写的现代 TLS 库，它为加密提供者提供了内置选项。
aws-lc是一个通用加密库，包含 TLS 和常见应用程序所需的算法。
aws-lc-rs是 Rust 中aws-lc库的惯用包装器。

如果您想选择其他aws-smithy-http-client的 TLS 或加密提供商，则该箱子提供了一些其他选项和配置。对于更高级的用例，我们鼓励您自带HTTP客户端实现或提交功能请求以供考虑。

选择备用 TLS 提供商

该aws-smithy-http-client箱子提供了一些替代的 TLS 提供商。

以下提供商可用：

rustls 与 aws-lc

基于它的 TLS 提供rustls程序aws-lc-rs用于加密。

这是适用于 Rust 的开发工具包的默认 HTTP 行为。如果要使用此选项，则无需在代码中执行任何其他操作。

s2n-tls

基于的 TLS 提供商s2n-tls。

rustls 与 aws-lc-fips

基于rustls的 TLS 提供程序使用符合 FIPS 的版本进行加密 aws-lc-rs

rustls 与 ring

基于它的 TLS 提供rustls程序ring用于加密。

先决条件

使用aws-lc-rs或s2n-tls需要 C 编译器（Clang 或 GCC）来构建。对于某些平台，构建可能还需要 CMake。在任何平台上使用 “fips” 功能进行构建都需要 CMake 然后开始。有关更多信息，请参阅适用于 Rust 的 AWS Libcrypto (aws-lc-rs) 存储库和构建说明。

如何使用备用 TLS 提供商

aws-smithy-http-client箱子提供了其他 TLS 选项。要让您的 AWS 服务客户端使用不同的 TLS 提供程序，请http_client使用aws_config箱子中的加载器替换。HTTP 客户端既 AWS 服务用于证书提供者，也用于凭证提供程序。

以下示例显示了如何使用 s2n-tls TLS 提供程序。但是，类似的方法也适用于其他提供商。

要编译示例代码，请运行以下命令向项目添加依赖项：


cargo add aws-smithy-http-client -F s2n-tls

示例代码：


use aws_smithy_http_client::{tls, Builder};

#[tokio::main]
async fn main() {
    let http_client = Builder::new()
        .tls_provider(tls::Provider::S2nTls)
        .build_https();

    let sdk_config = aws_config::defaults(
        aws_config::BehaviorVersion::latest()
    )
    .http_client(http_client)
    .load()
    .await;

    // create client(s) using sdk_config
    // e.g. aws_sdk_s3::Client::new(&sdk_config);
}

启用 FIPS 支持

该aws-smithy-http-client箱子提供了启用符合 FIPS 的加密实现的选项。要让您的 AWS 服务客户使用符合 FIPS 标准的提供商，请http_client使用箱子中的加载器替换。aws_configHTTP 客户端既 AWS 服务用于证书提供者，也用于凭证提供程序。

注意

FIPS 支持需要在您的构建环境中添加其他依赖项。参见aws-lc箱子的构建说明。

要编译示例代码，请运行以下命令向项目添加依赖项：


cargo add aws-smithy-http-client -F rustls-aws-lc-fips

以下示例代码启用 FIPS 支持：


// file: main.rs
use aws_smithy_http_client::{
    tls::{self, rustls_provider::CryptoMode},
    Builder,
};

#[tokio::main]
async fn main() {
    let http_client = Builder::new()
        .tls_provider(tls::Provider::Rustls(CryptoMode::AwsLcFips))
        .build_https();

    let sdk_config = aws_config::defaults(
        aws_config::BehaviorVersion::latest()
    )
    .http_client(http_client)
    .load()
    .await;

    // create client(s) using sdk_config
    // e.g. aws_sdk_s3::Client::new(&sdk_config);
}

优先考虑后量子密钥交换

默认 TLS 提供程序基于支持X25519MLKEM768后量子密钥交换算法的rustls使用aws-lc-rs。要生成优先级最高X25519MLKEM768的算法，您需要将rustls软件包添加到箱子中并启用prefer-post-quantum功能标志。否则，它可用，但不是最高优先级。有关更多信息，请参阅rustls文档。

注意

这将成为 future 版本中的默认设置。

覆盖 DNS 解析器

通过手动配置 HTTP 客户端，可以覆盖默认 DNS 解析器。

要编译示例代码，请运行以下命令向项目添加依赖项：


cargo add aws-smithy-http-client -F rustls-aws-lc
cargo add aws-smithy-runtime-api -F client

以下示例代码覆盖 DNS 解析器：


use aws_smithy_http_client::{
    tls::{self, rustls_provider::CryptoMode},
    Builder
};
use aws_smithy_runtime_api::client::dns::{DnsFuture, ResolveDns};
use std::net::{IpAddr, Ipv4Addr};

/// A DNS resolver that returns a static IP address (127.0.0.1)
#[derive(Debug, Clone)]
struct StaticResolver;

impl ResolveDns for StaticResolver {
    fn resolve_dns<'a>(&'a self, _name: &'a str) -> DnsFuture<'a> {
        DnsFuture::ready(Ok(vec![IpAddr::V4(Ipv4Addr::new(127, 0, 0, 1))]))
    }
}

#[tokio::main]
async fn main() {
    let http_client = Builder::new()
        .tls_provider(tls::Provider::Rustls(CryptoMode::AwsLc))
        .build_with_resolver(StaticResolver);
    
    let sdk_config = aws_config::defaults(
        aws_config::BehaviorVersion::latest()
    )
    .http_client(http_client)
    .load()
    .await;
    
    // create client(s) using sdk_config
    // e.g. aws_sdk_s3::Client::new(&sdk_config);
}

注意

默认情况下，亚马逊 Linux 2023 (AL2023) 不在操作系统级别缓存 DNS。

自定义根 CA 证书

默认情况下，TLS 提供程序会加载给定平台的系统原生根证书。要自定义此行为以加载自定义 CA 捆绑包，您可以使用自己的 CA 包TlsContext进行配置TrustStore。

要编译示例代码，请运行以下命令向项目添加依赖项：


cargo add aws-smithy-http-client -F rustls-aws-lc

以下示例与 with rustls 一起使用aws-lc，但适用于任何支持的 TLS 提供程序：


use aws_smithy_http_client::{
    tls::{self, rustls_provider::CryptoMode},
    Builder
};
use std::fs;

/// read the PEM encoded root CA (bundle) and return a custom TLS context
fn tls_context_from_pem(filename: &str) -> tls::TlsContext {
    let pem_contents = fs::read(filename).unwrap();
    
    // Create a new empty trust store (this will not load platform native certificates)
    let trust_store = tls::TrustStore::empty()
        .with_pem_certificate(pem_contents.as_slice());
        
    tls::TlsContext::builder()
        .with_trust_store(trust_store)
        .build()
        .expect("valid TLS config")
}

#[tokio::main]
async fn main() {
    let http_client = Builder::new()
        .tls_provider(tls::Provider::Rustls(CryptoMode::AwsLc))
        .tls_context(tls_context_from_pem("my-custom-ca.pem"))
        .build_https();
    
    let sdk_config = aws_config::defaults(
        aws_config::BehaviorVersion::latest()
    )
    .http_client(http_client)
    .load()
    .await;
    
    // create client(s) using sdk_config
    // e.g. aws_sdk_s3::Client::new(&sdk_config);
}