Sikre CloudFront-edge

Amazon CloudFront er AWS sitt innholdsleveringsnettverk (CDN), som leverer innhold fra globale edge-lokasjoner. I tillegg til høyere hastighet er det en kraftig sikkerhetsgrense: den avslutter tilkoblinger ved kanten, absorberer DDoS-angrep via Shield, utfører WAF-inspeksjon og skjuler opprinnelsen din for direkte eksponering.

CloudFront avslutter TLS ved den nærmeste edge-lokasjonen og krypterer trafikken mellom brukerne og kanten med moderne protokoller og chiffer som du konfigurerer via en sikkerhetspolicy. Du kan også håndheve bare HTTPS ved å omdirigere HTTP til HTTPS, slik at data under overføring alltid er kryptert.

CloudFront bruker sertifikater fra AWS Certificate Manager (ACM) for HTTPS på egendefinerte domener. Sertifikater for CloudFront må bestilles i us-east-1, uavhengig av hvor opprinnelsen din befinner seg. Dette er en detalj eksamenen ofte tester. ACM fornyer også disse sertifikatene automatisk.

CloudFront integreres tett med AWS WAF (knytt til en web-ACL med CLOUDFRONT-omfang) og AWS Shield (Standard er kostnadsfri, Advanced er valgfritt). Dette lar deg inspisere forespørsler og begrense forespørselsraten samt absorbere DDoS-flommer ved kanten, før trafikken når den regionale infrastrukturen din.

For S3-opprinnelser låser Origin Access Control (OAC) bøtten slik at den bare kan nås gjennom CloudFront, ikke direkte. Bøtten forblir privat, mens CloudFront signerer forespørslene til den. OAC erstatter den eldre Origin Access Identity (OAI) og støtter funksjoner som SSE-KMS og alle regioner.

For ALB eller egendefinerte origins kan De hindre direkte tilgang ved å begrense origin til CloudFront IP-ranges eller verifisere en egendefinert hemmelig header som CloudFront legger til, og som origin (eller WAF-en) kontrollerer. Dette sikrer at forespørsler ikke kan omgå beskyttelsen på CloudFront-edge.

For å begrense tilgang til privat innhold støtter CloudFront signerte URL-er og signerte informasjonskapsler. Bare forespørsler med en gyldig signatur, eventuelt begrenset til en bestemt tidsperiode og IP-adresse, kan hente innholdet. Dette beskytter betalte eller sensitive medier uten å eksponere origin eller kreve bucket-policyer for hvert enkelt objekt.

CloudFronts geografiske begrensning kan tillate eller blokkere seere etter land ved edge. Dette håndhever lisensierings- eller samsvarsgrenser før forespørsler når applikasjonen. For mer detaljert kontroll tilbyr en WAF-regel for geografisk treff samme funksjonalitet, med fleksibilitet til å kombinere geografi med andre betingelser.

CloudFronts kryptering på feltnivå krypterer bestemte sensitive skjemafelt (for eksempel et kredittkortnummer) ved edge ved hjelp av en offentlig nøkkel. Dermed forblir dataene kryptert gjennom hele stakken frem til de dekrypteres av den autoriserte tjenesten. Dette beskytter sensitive felt selv mot Deres egne mellomliggende komponenter.

CloudFront Functions og Lambda@Edge kjører kode på edge-lokasjoner for å legge til sikkerhetsheadere, validere tokens eller normalisere forespørsler før de når origin. De lar Dem håndheve sikkerhetslogikk globalt med lav latenstid, for eksempel ved å legge til HSTS eller skrive om mistenkelige forespørsler.

En herdet CloudFront-edge kombinerer kun HTTPS med ACM, WAF, Shield, OAC eller låsing av origin, signerte URL-er, geografisk begrensning og edge-funksjoner. Til sammen gjør disse edge til den primære håndhevingsgrensen, holder origin privat og filtrerer angrep før de når kjerneinfrastrukturen.

CloudFront er en sikkerhets-edge: Den terminerer TLS med ACM-sertifikater (bestilt i us-east-1), tilbyr WAF og Shield og skjuler origin. Bruk Origin Access Control (OAC) for å holde S3 privat, lås egendefinerte origins med IP-ranges eller hemmelige headere, begrens innhold med signerte URL-er/informasjonskapsler og geografisk begrensning, og kjør sikkerhetslogikk via CloudFront Functions eller Lambda@Edge.