AWS API网关MTLS客户端身份验证

Question

每次我搜索AWS API网关的通过SSL的相互身份验证时，我只能找到AWS API网关和后端服务之间的MTL。但我希望用MTLS（客户端身份验证）来保护我的AWS API网关endpoint本身。

例如，我有一个通过AWS API网关代理的备份服务QueryCustomer。现在我可以在API网关上设置SSL证书，但它通常是单向SSL。我想要实现的是一个带有客户端身份验证的MTLS，其中来自AWS API网关的API使用者首先必须交换他们在AWS信任库上配置的公共证书，AWS公共证书也将存储在API使用者端。

现在，在握手过程中，与其他API网关和应用程序服务器一样，应该有一个属性表示类似于此AWS API网关endpoint的内容“需要客户端身份验证”，以便仅当API消费者的公共证书位于API网关信任库中时，才应该对其进行身份验证以访问该endpoint，否则只会抛出正常的SSL握手错误。

有人能建议这是否可以在AWS API网关上实现吗？

Answer 1

23九月2020

AWS现在支持相互TLS

https://docs.aws.amazon.com/apigateway/latest/developerguide/http-api-mutual-tls.html

我们现在还可以禁用executeapiendpoint。

aws apigatewayv2 update-api \
    --api-id abcdef123 \
    --disable-execute-api-endpoint

若要使用相互TLS，请创建信任的X.509证书的信任存储库，以便访问API。证书可以来自公共或专用证书颁发机构。证书的最大链长可以为4。还可以提供自签名证书。支持以下内容：

SHA-256或更高版本RSA-2048或更高版本ECDSA-256或更高版本

API网关验证许多证书属性。当客户端调用API时，可以使用Lambda授权程序执行其他检查，包括检查证书是否已吊销。API网关验证以下证书属性：

验证说明X.509语法

证书必须满足X.509语法要求。

诚实正直

证书的内容不得与证书颁发机构从信任存储库签署的内容相更改。

有效性

证书的有效期必须是最新的。

名称链接/密钥链接

证书的名称和主题必须形成一个完整的链。证书的最大链长度可以为4。

Answer 2

这目前无法从API网关获得，但是我们已经收到了多个客户对此功能的请求。不幸的是，我不能评论ETA或可用性。