De CloudFront-edge beveiligen

Amazon CloudFront is het content delivery network (CDN) van AWS dat inhoud vanuit wereldwijde edge-locaties aanbiedt. Naast snelheid vormt het een krachtige beveiligingsgrens: het beëindigt verbindingen aan de rand, vangt DDoS-aanvallen op via Shield, voert WAF-inspectie uit en verbergt je origin voor rechtstreekse blootstelling.

CloudFront beëindigt TLS op de dichtstbijzijnde edge-locatie en versleutelt verkeer tussen gebruikers en de edge met moderne protocollen en cijfersuites die je via een beveiligingsbeleid configureert. Je kunt ook alleen HTTPS afdwingen door HTTP naar HTTPS om te leiden, zodat gegevens tijdens het transport altijd zijn versleuteld.

CloudFront gebruikt certificaten van AWS Certificate Manager (ACM) voor HTTPS op je aangepaste domeinen. Certificaten voor CloudFront moeten worden aangevraagd in us-east-1, ongeacht waar je origin zich bevindt. Dit is een detail dat op het examen graag wordt getest. ACM vernieuwt deze certificaten ook automatisch.

CloudFront integreert nauw met AWS WAF (koppel een web-ACL met CLOUDFRONT-scope) en AWS Shield (Standard gratis, Advanced optioneel). Zo kun je verzoeken aan de edge inspecteren en hun snelheid beperken en DDoS-overstromingen opvangen voordat verkeer ooit je regionale infrastructuur bereikt.

Voor S3-origins vergrendelt Origin Access Control (OAC) de bucket, zodat deze alleen via CloudFront bereikbaar is en niet rechtstreeks. De bucket blijft privé, terwijl CloudFront verzoeken ernaartoe ondertekent. OAC vervangt de oudere Origin Access Identity (OAI) en ondersteunt functies zoals SSE-KMS en alle Regions.

Voor ALB- of aangepaste origins voorkom je rechtstreekse toegang door de origin te beperken tot IP-bereiken van CloudFront of door een aangepaste geheime header te controleren die CloudFront toevoegt en die de origin (of zijn WAF) controleert. Zo kunnen aanvragen de beveiligingen aan de CloudFront-edge niet omzeilen.

Om de toegang tot privé-inhoud te beperken, ondersteunt CloudFront ondertekende URL's en ondertekende cookies. Alleen aanvragen met een geldige handtekening, die optioneel een beperkte geldigheidsduur en een IP-beperking heeft, kunnen de inhoud ophalen. Zo bescherm je betaalde of gevoelige media zonder de origin bloot te stellen of beleid per object voor de bucket nodig te hebben.

Met een geografische beperking van CloudFront kun je kijkers aan de edge per land toestaan of blokkeren. Zo dwing je licentie- of nalevingsgrenzen af voordat aanvragen je applicatie bereiken. Voor fijnmazigere controle biedt een geo-matchregel in WAF hetzelfde principe, met de flexibiliteit om geografie met andere voorwaarden te combineren.

Met versleuteling op veldniveau versleutelt CloudFront specifieke gevoelige formuliervelden (zoals een creditcardnummer) aan de edge met een publieke sleutel. Zo blijft de data versleuteld binnen je hele stack totdat de bevoegde service deze ontsleutelt. Hiermee bescherm je gevoelige velden zelfs tegen je eigen tussenliggende componenten.

CloudFront Functions en Lambda@Edge voeren code uit op edge-locaties om beveiligingsheaders toe te voegen, tokens te valideren of aanvragen te normaliseren voordat deze de origin bereiken. Zo kun je beveiligingslogica wereldwijd afdwingen met een lage latentie, bijvoorbeeld door HSTS toe te voegen of verdachte aanvragen te herschrijven.

Een geharde CloudFront-edge combineert alleen HTTPS met ACM, WAF, Shield, OAC of het afschermen van de origin, ondertekende URL's, geografische beperking en edge-functies. Samen maken deze onderdelen van de edge de primaire handhavingsgrens, houden ze de origin privé en worden aanvallen gefilterd voordat ze je kerninfrastructuur bereiken.

CloudFront is een beveiligingslaag aan de edge: het beëindigt TLS met ACM-certificaten (aangevraagd in us-east-1), biedt WAF en Shield en verbergt de origin. Gebruik Origin Access Control (OAC) om S3 privé te houden, scherm aangepaste origins af met IP-bereiken of geheime headers, beperk inhoud met ondertekende URL's/cookies en geografische beperking en voer beveiligingslogica uit via CloudFront Functions of Lambda@Edge.