Come posso utilizzare una policy di sicurezza crittografica di CloudFront per proteggere il mio nome di dominio alternativo di Gateway API?

Breve descrizione

CloudFront supporta protocolli di sicurezza e cifrari per garantire una comunicazione sicura tra i visualizzatori o client e le posizioni edge di CloudFront. CloudFront utilizza cifrari e protocolli basati sulla policy di sicurezza selezionata per la distribuzione di CloudFront. Le policy di sicurezza in CloudFront sono predefinite e non puoi aggiungervi o rimuoverne singoli cifrari.

Nota: è consigliabile utilizzare la policy di sicurezza più sicura disponibile come TLSv1.2_2021. CloudFront utilizza l'implementazione s2n-tls per TLS. CloudFront supporta le versioni TLS 1.0, 1.1, 1.2 e 1.3. Per ulteriori informazioni, consulta Quali cifrari e protocolli di sicurezza sono supportati da CloudFront?

Risoluzione

Per creare una distribuzione di CloudFront e aggiungere il nome di dominio alternativo (personalizzato), intraprendi le seguenti azioni. Questa configurazione garantisce che tutte le richieste API al nome di dominio alternativo vengano instradate attraverso una distribuzione di CloudFront con una policy di suite crittografiche.

Richiedi o importa un certificato ACM

Utilizza la console Gestione certificati AWS (ACM) per richiedere un certificato pubblico o importare un certificato esistente per il nome di dominio alternativo.

Crea una distribuzione di CloudFront

Completa i seguenti passaggi:

1. Apri la console CloudFront.
2. Nel pannello di navigazione, scegli Distributions (Distribuzioni), quindi scegli Create distribution (Crea distribuzione).
3. Per Choose a plan (Scegli un piano), seleziona un piano per la distribuzione, quindi scegli Next (Avanti).
4. In Distribution name (Nome distribuzione), inserisci un nome per la distribuzione.
5. Per Distribution type (Tipo di distribuzione), scegli Single website or app (App o sito web singolo), quindi scegli Next (Avanti).
6. Per Origin type (Tipo di origine), scegli API Gateway (Gateway API).
7. Per API Gateway origin (Origine di Gateway API), scegli Browse APIs (Sfoglia API), quindi seleziona l'URL di invocazione di Gateway API. Ad esempio, api-id.execute-api.region.amazonaws.com.
8. Scegli l'elenco a discesa APIGATEWAY Version (Versione APIGATEWAY) e seleziona REST API.
9. Per API name (Nome API), scegli il nome dell'API, quindi seleziona Choose (Scegli).
10. Scegli Next (Avanti).
11. Per Web Application Firewall (WAF), seleziona Do not enable security protections (Non abilitare le protezioni di sicurezza), quindi scegli Next (Avanti).
12. Scegli Create distribution (Crea distribuzione).

Aggiungi un nome di dominio alternativo

Completa i seguenti passaggi:

1. Apri la console CloudFront.
2. Nel pannello di navigazione, scegli Distributions (Distribuzioni).
3. Seleziona la distribuzione che hai creato nel passaggio precedente.
4. Scegli la scheda General (Generale), quindi per Alternate domain names (Nomi di dominio alternativi), seleziona Add domain (Aggiungi dominio).
5. In Domains (Domini), inserisci il nome di dominio fornito dalla distribuzione, quindi scegli Next (Avanti).
6. Per TLS certificate (Certificato TLS), seleziona il certificato ACM che hai creato nel passaggio precedente, quindi scegli Next (Avanti).
7. Nella pagina Review changes (Rivedi modifiche), scegli Add domains (Aggiungi domini).

Crea un record alias Route 53

Completa i seguenti passaggi:

1. Apri la console Route 53.
2. Nel pannello di navigazione, scegli Zone ospitate.
3. Per Nome della zona ospitata, seleziona il nome della zona ospitata della distribuzione.
4. Per Record, scegli Crea record.
5. In Nome record, inserisci il nome del record della distribuzione.
6. Per Alias, scegli l'attivazione.
7. In Instrada il traffico a, inserisci Alias per distribuzione di CloudFront.
8. Nella barra di ricerca Scegli distribuzione, inserisci il nome della distribuzione.
9. Per Policy di routing, scegli Routing semplice.
10. Scegli Crea record. Stato cambia da PENDING a INSYNC.

(Facoltativo) Aggiorna la policy di sicurezza crittografica della distribuzione di CloudFront

Completa i seguenti passaggi:

1. Apri la console CloudFront.
2. Nel pannello di navigazione, scegli Distributions (Distribuzioni).
3. Seleziona la distribuzione che hai creato nella sezione Crea una distribuzione di CloudFront.
4. Seleziona la scheda General (Generale), quindi scegli Edit (Modifica).
5. Per Security policy (Policy di sicurezza), seleziona i cifrari e il protocollo SSL/TLS preferiti.
   Nota: per impostazione predefinita, la versione 1.3 di TLS è abilitata in tutte le distribuzioni di CloudFront.
6. Scegli Save changes (Salva modifiche).

Nota: puoi anche utilizzare la console Gateway API per modificare la policy di sicurezza del nome di dominio personalizzato.

Risolvi i problemi

Se ricevi errori di risoluzione DNS o mancata corrispondenza del certificato SSL, controlla i requisiti di configurazione. Per ulteriori informazioni, consulta Come posso risolvere gli errori di risoluzione DNS o di mancata corrispondenza del certificato SSL per il mio nome di dominio personalizzato di Gateway Amazon API?

Se ricevi errori di certificato scaduto o "invalid certificate", controlla la configurazione di ACM. Per ulteriori informazioni, consulta Come posso risolvere gli errori di certificato scaduto o "invalid certificate" quando invoco un'API di Gateway API utilizzando un nome di dominio personalizzato?

Se è stato restituito il certificato sbagliato, consulta Perché è stato restituito il certificato errato, quando ho invocato il mio nome di dominio personalizzato di Gateway Amazon API?

Per risolvere gli errori dei certificati con l'integrazione di backend, consulta Come posso risolvere gli errori relativi ai certificati SSL generati da Gateway API?

Informazioni correlate

Securing Amazon API Gateway with secure ciphers using Amazon CloudFront (Protezione di Gateway Amazon API con cifrari sicuri utilizzando Amazon CloudFront)