Sikring af CloudFront-edge

Amazon CloudFront er AWS' indholdsleveringsnetværk (CDN), der leverer indhold fra globale edge-placeringer. Ud over hastighed er det en stærk sikkerhedsgrænse: Det afslutter forbindelser ved kanten, absorberer DDoS via Shield, hoster WAF-inspektion og skjuler din oprindelse mod direkte eksponering.

CloudFront afslutter TLS ved den nærmeste edge-placering og krypterer trafikken mellem brugerne og kanten med moderne protokoller og cifre, som du konfigurerer via en sikkerhedspolitik. Du kan også gennemtvinge kun HTTPS ved at omdirigere HTTP til HTTPS, så data under overførsel altid er krypterede.

CloudFront bruger certifikater fra AWS Certificate Manager (ACM) til HTTPS på dine brugerdefinerede domæner. Certifikater til CloudFront skal anmodes om i us-east-1, uanset hvor din oprindelse er placeret, hvilket er en detalje, eksamen ofte tester. ACM fornyer også disse certifikater automatisk.

CloudFront integreres tæt med AWS WAF (tilknyt en web-ACL med CLOUDFRONT-omfang) og AWS Shield (Standard er gratis, Advanced er valgfri). Det giver dig mulighed for at inspicere og hastighedsbegrænse anmodninger samt absorbere DDoS-oversvømmelser ved kanten, før trafikken når din regionale infrastruktur.

For S3-oprindelser låser Origin Access Control (OAC) bøtten, så den kun kan nås gennem CloudFront og ikke direkte. Bøtten forbliver privat, mens CloudFront signerer anmodningerne til den. OAC erstatter den ældre Origin Access Identity (OAI) og understøtter funktioner som SSE-KMS og alle Regions.

For ALB eller brugerdefinerede origins skal du forhindre direkte adgang ved at begrænse origin til CloudFront-IP-intervaller eller ved at kontrollere en brugerdefineret hemmelig header, som CloudFront tilføjer, og som origin (eller dens WAF) kontrollerer. Det sikrer, at forespørgsler ikke kan omgå CloudFronts beskyttelse ved edge-lokationerne.

For at begrænse adgangen til privat indhold understøtter CloudFront signerede URL'er og signerede cookies. Kun forespørgsler med en gyldig signatur, der eventuelt er tidsbegrænset og begrænset til bestemte IP-adresser, kan hente indholdet. Det beskytter betalingsbelagte eller følsomme medier uden at eksponere origin eller kræve bucket-politikker for hvert enkelt objekt.

CloudFronts geografiske begrænsning kan tillade eller blokere brugere efter land ved edge-lokationen. Det håndhæver licens- eller compliancegrænser, før forespørgsler når din applikation. Hvis du har brug for finere kontrol, tilbyder en WAF-regel for geografisk match den samme idé med mulighed for at kombinere geografi med andre betingelser.

CloudFronts kryptering på feltniveau krypterer specifikke følsomme formularfelter, f.eks. et kreditkortnummer, ved edge-lokationen ved hjælp af en offentlig nøgle. Dataene forbliver dermed krypterede gennem hele din stack, indtil den autoriserede tjeneste dekrypterer dem. Det beskytter følsomme felter, selv mod dine egne mellemliggende komponenter.

CloudFront Functions og Lambda@Edge kører kode ved edge-lokationer for at tilføje sikkerhedsheadere, validere tokens eller normalisere forespørgsler, før de når origin. De gør det muligt at håndhæve sikkerhedslogik globalt med lav latenstid, f.eks. ved at tilføje HSTS eller omskrive mistænkelige forespørgsler.

En hærdet CloudFront-edge kombinerer kun HTTPS med ACM, WAF, Shield, OAC eller låsning af origin, signerede URL'er, geografisk begrænsning og edge-funktioner. Tilsammen gør de edge-lokationen til den primære håndhævelsesgrænse, holder origin privat og filtrerer angreb, før de når din centrale infrastruktur.

CloudFront fungerer som en sikkerhedskant: Den afslutter TLS med ACM-certifikater (anmodet i us-east-1), hoster WAF og Shield og skjuler origin. Brug Origin Access Control (OAC) til at holde S3 privat, lås brugerdefinerede origins med IP-intervaller eller hemmelige headere, begræns indhold med signerede URL'er/cookies og geografisk begrænsning, og kør sikkerhedslogik via CloudFront Functions eller Lambda@Edge.