Início / server / Perguntas / 820939
Accepted
chrisvdb
Asked: 2016-12-16 08:21:30 +0800 CST

HSTS no Amazon CloudFront da origem S3

  • 772

É possível definir cabeçalhos HSTS em uma distribuição do Amazon CloudFront de uma origem S3?

ssl amazon-cloudfront hsts

5 respostas

  1. Uma atualização sobre isso...

    Os cabeçalhos de resposta HTTP agora podem ser personalizados por meio das funções do Lambda@edge. Consulte http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/lambda-at-the-edge.html para obter a documentação. Para tentar isso, crie uma nova função lambda no console AWS. Escolha 'Edge Nodge.js 4.3' para o idioma e procure o modelo de cabeçalho cloudfront-modify-response. Se você fizer isso, o Lambda perguntará a qual distribuição e evento do CloudFront aplicar a função. Observe que você pode editar ou alterar isso a qualquer momento acessando a guia de comportamento do Cloudfront.

    Aqui está um exemplo de função lambda ...

    'use strict';
exports.handler = (event, context, callback) => {

    const response = event.Records[0].cf.response;
    response.headers['Strict-Transport-Security'] = 'max-age=2592000; includeSubDomains';

    callback(null, response);
};
    • 13
  2. Best Answer

    Atualmente não é possível, consulte https://forums.aws.amazon.com/thread.jspa?threadID=162252 para uma discussão sobre isso.

    Editar: Lambda@Edge tornou isso possível, veja abaixo.

    • 8

  3. Para adicionar à resposta de Andrew:

    Acabei de tentar isso e algumas observações: não há mais tempo de execução de nó de borda específico, mas o lambda precisa ser criado na região de N Virginia e acionado por cloudfront origin-response ou viewer-response .

    O código pronto para uso parece não funcionar mais. Dá ERR_CONTENT_DECODING_FAILED.

    A solução é usar a sintaxe json da seguinte forma:

    response.headers['Strict-Transport-Security'] = [ { key: 'Strict-Transport-Security', value: "max-age=31536000; includeSubdomains; preload" } ];
response.headers['X-Content-Type-Options']    = [ { key: 'X-Content-Type-Options', value: "nosniff" } ];
    • 5

  4. Mais uma atualização neste...

    Agora você pode adicionar cabeçalhos de resposta HTTP personalizados (incluindo CORS e cabeçalhos de segurança como HSTS) nativamente no CloudFront, sem modificar sua origem ou funções de gravação. Se você for para Políticas > Cabeçalhos de resposta no console, poderá criar uma política reutilizável com sua configuração e anexá-la a um ou mais comportamentos de cache onde gostaria que esses cabeçalhos fossem adicionados. Isso também está disponível por meio da API, CLI, SDK e assim por diante.

    A documentação está disponível aqui: https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/adding-response-headers.html

    • 3

  5. Correto, como o Lambda@Edge está geralmente disponível, eles o restringiram a N Virginia e é preciso escolher o Nó 6.10 em vez do Nó 4.3.

    A parte relevante do nosso código abaixo (para o nosso propósito, sempre será um redirecionamento permanente 302):

    'use strict';
exports.handler = (event, context, callback) => {

  var request = event.Records[0].cf.request;
  const response = {
    status: '302',
    statusDescription: '302 Found',
    httpVersion: request.httpVersion,
    headers: {
      Location: [
        {
            "key":"Location",
            "value":"someURL"
        }
      ],
      'Strict-Transport-Security': [
        {
          "key":"Strict-Transport-Security",
          "value":'max-age=63072000; includeSubDomains; preload'
        }
      ],
    },
  };
  callback(null, response);
};

    Ao configurar diferentes comportamentos no CloudFront, você pode limitar quais solicitações chamarão a função Lambda.

    • 1

relate perguntas