Amazon web services 在AWS API网关中，如何将HTTPS密码限制为提供完美前向保密性的密码？

我们想要使用API网关，我们想要完美的前向保密（）

实现这一点的一种方法是将通过HTTPS/TLS1.2连接时可用的密码限制为基于Diffie-Hellman的密码（即不允许RSA）。有没有办法限制API网关中的密码

或者，是否有办法配置API网关，使其不终止HTTPS，而是将其转发给AWS负载平衡器（因为AWS负载平衡器确实支持限制密码套件）

我的研究表明，API网关确实允许HTTPS连接使用不支持完美前向保密的密码

谢谢

有没有办法限制API网关中的密码

据我所知，没有。API网关似乎由CloudFront支持，它也不允许TLS密码套件配置

或者，是否有方法配置API网关，使其不终止HTTPS，而是将其转发给AWS负载平衡器

不，它不能执行TCP传递

我的研究表明，API网关确实允许HTTPS连接使用不支持完美前向保密的密码

对。并非所有浏览器/用户代理都支持临时密钥，API网关需要支持所有这些密钥（尽管随着旧的东西消失，列表越来越小）

API网关配置为更喜欢使用支持ECDHE的密码套件，因此，如果浏览器/用户代理支持ECDHE，则很可能会使用它

---

如果您绝对必须限制对提供FS的密码套件的支持，那么您需要找到API网关以外的解决方案，或者在API网关前面放置一个反向代理，以确保使用FS，并找出一种方法，将API网关限制为仅接受来自反向代理的连接。

AWS已宣布，TLS版本和密码现在可配置用于边缘优化的API网关实现：

---

在最近的新闻中，在某种程度上，您现在似乎也能够做到：@willFarrell这只是针对CF的，您不能真正针对API网关，即使它有CF的支持。此外，即使您可以选择安全策略，CF仍将支持那些没有PFS的密码。请注意，即使您可以更改安全策略，您也无法更改AWS设置的默认密码。端点似乎仍然支持非PFS密码。