Cloudfront Verteilung erzwingt nicht TLS-Einstellungen für Gateway-API

Question

Folgen zu AWS API Gateway should prevent use of TLS v1 up, habe ich eine Cloudfront Verteilung mit unter Config

 
Origin Domain Name as my Gate API endpoint https://abcdfefg.execute-api.us-east-1.amazonaws.com 
Viewer Protocol Policy as HTTPS Only 
Origin SSL Protocols as TLSv1.2, TLSv1.1 (Unchecked TLSv1) 

other defaults 

Nach der Verteilung wurde eingesetzt, als ich meinen Gateway-API mit benutzerdefinierter Domain zuzugreifen, I war immer noch in der Lage, TLSv1 anzurufen.

Wie ordne ich meine benutzerdefinierte Domäne dieser neuen Cloudfront-Verteilung zu, um TLS-Einstellungen zu erzwingen?

-Update-1: In meinem Java-Testprogramm, das die Gateway-API mithilfe von benutzerdefinierter Domain aufruft, aktivierte ich unten Runtime Argumente

 
-Dhttps.protocols=TLSv1 -Djavax.net.debug=all 

Ausgabe von javax.net.debug TLSv1 Wechsel bestätigt.

 
*** ClientHello, TLSv1 
.... many lines output 
*** ServerHello, TLSv1 
.. 
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 

Bestätigt die Verwendung von TLS v1 mit curl auch. Curl-Ausgabe beinhaltet:

 
* SSL connection using TLSv1.0/ECDHE-RSA-AES128-SHA 

Answer 1

Um für die Gateway-API mit zusätzlicher Wolkenfront Verteilung zu arbeiten, müssen wir

1. Von AWS-Konsole unter API-Gateway gehen zu benutzerdefinierten Domain-Namen und löscht der zugeordnete Eintrag
2. Fügen Sie einen CNAME-Eintrag in den Cloud-Fronteinstellungen hinzu. Von AWS-Konsole, folgen Sie den Anweisungen unter eine alternativen Domain Namen Hinzufügen

Nach den obigen Änderungen abgeschlossen sind, den Zugriff auf die benutzerdefinierten Domain-Namen auf https wird die TLS-Sicherheitseinstellungen wie definiert in Cloudfront Verteilung erzwingen.