¿Cómo puedo configurar CloudFront para que sirva mi contenido mediante un nombre de dominio alternativo a través de HTTPS?

Descripción corta

De forma predeterminada, puedes usar los nombres de dominio de CloudFront solo para ofrecer contenido a través de HTTPS. Sin embargo, puedes asociar tu propio nombre de dominio a CloudFront para ofrecer tu contenido a través de HTTPS.

Para asociar tu propio nombre de dominio a CloudFront, agrega un nombre de dominio alternativo (CNAME).

Resolución

Solicitud de un certificado SSL en AWS Certificate Manager (ACM) o importación de tu propio certificado

Para usar un certificado emitido por Amazon, consulta Solicitar un certificado público.

Cuando utilices un certificado público, ten en cuenta lo siguiente:

• Debes solicitar el certificado en la región este de EE. UU. (norte de Virginia).
• Debes tener permiso para usar y solicitar el certificado de ACM.

Para usar un certificado importado, consulta Importación de certificados a AWS Certificate Manager.

Cuando utilices un certificado importado, ten en cuenta lo siguiente:

• La longitud de tu clave debe ser de 1024 o 2048 bits y no puede superar los 2048 bits.
• Debes importar el certificado en la región este de EE. UU. (norte de Virginia).
• Debes tener permiso para usar e importar el certificado SSL/TLS.
• El certificado debe emitirse desde una CA de confianza que figure en la Lista de certificados de CA incluidos de Mozilla.
• El certificado debe estar en formato X.509 PEM.

Para obtener más información, consulta Requisitos para utilizar certificados SSL/TLS con CloudFront.

Nota: Se recomienda importar el certificado a ACM. Sin embargo, también se puede importar el certificado en el almacén de certificados de IAM.

Adjuntar un certificado SSL y nombres de dominio alternativos a tu distribución

1. Accede a la consola de CloudFront.
2. Selecciona la distribución que deseas actualizar.
3. En la pestaña General, elige Editar.
4. En Nombres de dominio alternativos (CNAME), agrega los nombres de dominio alternativos aplicables. Separa los nombres de dominio con comas o escribe cada nombre de dominio en una línea nueva.
   Nota: El dominio alternativo que estás intentando agregar no debe tener un registro DNS que apunte a una distribución de CloudFront diferente.
5. En Certificado SSL, selecciona Certificado SSL personalizado. A continuación, selecciona un certificado de la lista.
   Nota: Hay hasta 100 certificados disponibles en la lista desplegable. Si tienes más de 100 certificados y el certificado que deseas no aparece en la lista, introduce el nombre de recurso de Amazon (ARN) del certificado. Si ya has cargado un certificado en el almacén de certificados de IAM, pero no está disponible en la lista desplegable, confirma que lo has cargado correctamente.
6. Si deseas que CloudFront entregue tu contenido HTTPS mediante direcciones IP dedicadas, activa la compatibilidad con el cliente heredado.
   Nota: Al utilizar el soporte de Legacy Client, incurrirás en cargos adicionales si asocias tu certificado SSL/TLS a una distribución en la que la configuración esté activada. Para obtener más información, consulta los precios de Amazon CloudFront.
7. Selecciona Guardar cambios.

Configuración de CloudFront para que requiera HTTPS entre los visores y CloudFront

1. Accede a la consola de CloudFront.
2. En la pestaña Comportamientos, elige el comportamiento de la caché que deseas actualizar. A continuación, selecciona Editar.
3. En Política de protocolo de visores, elige:
   Redirige HTTP a HTTPS. Los visores pueden usar ambos protocolos, pero las solicitudes HTTP se redirigen automáticamente a solicitudes HTTPS.
   Alternativa:
   Solo HTTPS. Los visores solo pueden acceder a tu contenido si utilizan HTTPS. Si un visores envía una solicitud HTTP en lugar de una solicitud HTTPS, CloudFront devuelve el código de estado HTTP 403 (Forbidden) y no devuelve el archivo.
4. Selecciona Guardar cambios.
5. Repite los pasos 1 a 4 para cada comportamiento de caché adicional para el que desees requerir HTTPS entre los visores y CloudFront.

Creación de registros DNS para dirigir tu dominio a la distribución de CloudFront

Crea un conjunto de registros de recursos de alias. Con un conjunto de registros de recursos de alias, no se cobran cargos por las consultas de Route 53. Además, puedes crear un conjunto de registros de recursos de alias para el nombre de dominio raíz (ejemplo.com), que el DNS no permite para los CNAME. Para obtener más información, consulta Configuración de Amazon Route 53 para dirigir el tráfico a una distribución de CloudFront.

Uso de otro proveedor de servicios DNS

Usa el método proporcionado por tu proveedor de servicios DNS para agregar un registro CNAME para tu dominio. El registro CNAME redirigirá las consultas de DNS de tu nombre de dominio alternativo (por ejemplo: www.ejemplo.com) al nombre de dominio de CloudFront de tu distribución (por ejemplo: ejemplo.cloudfront.net).

Información relacionada

Referencia de distribución de varios arrendatarios de CloudFront

Comprender cómo funcionan las distribuciones de varios arrendatarios