Bảo vệ chống tấn công lớp mạng và ứng dụng
Amazon CloudFront, AWS Shield, Tường lửa ứng dụng web (WAF) của AWS và Amazon Route 53 kết hợp liền mạch với nhau để tạo một vành đai bảo mật theo lớp linh hoạt giúp bảo vệ chống lại nhiều kiểu tấn công khác nhau, bao gồm tấn công DDoS lớp mạng và ứng dụng. Tất cả các dịch vụ này cùng nằm ở biên AWS và tạo ra một vành đai bảo mật có quy mô linh hoạt, tin cậy và có hiệu năng cao cho các ứng dụng và nội dung. Sử dụng CloudFront làm “cửa trước” dẫn vào ứng dụng và cơ sở hạ tầng, bề mặt tấn công chính sẽ bị loại khỏi nội dung, dữ liệu, mã và cơ sở hạ tầng quan trọng. Tìm hiểu thêm về Biện pháp tốt nhất của AWS cho Khả năng chống chịu DDoS.

Với Amazon CloudFront, nội dung, API hoặc các ứng dụng có thể được phân phối qua HTTPS bằng cách sử dụng phiên bản Bảo mật lớp vận chuyển (TLSv1.3) mới nhất để mã hóa và bảo mật giao tiếp giữa ứng dụng máy khách của người xem và CloudFront. Có thể dùng Trình quản lý chứng chỉ của AWS (ACM) để dễ dàng tạo chứng chỉ SSL tùy chỉnh và triển khai miễn phí cho phân phối CloudFront. ACM tự động xử lý việc gia hạn chứng chỉ, loại bỏ toàn bộ chi phí và phí tổn của quy trình gia hạn thủ công. Ngoài ra, CloudFront còn cung cấp một số chức năng nâng cao và tối ưu hóa TLS, chẳng hạn như kết nối HTTPS toàn cầu/nửa cầu, ghim giao thức trạng thái OCSP, Phiếu phiên, Bí mật chuyển tiếp hoàn hảo, Thực thi giao thức TLS và Mã hóa các trường dữ liệu cụ thể.

Với Amazon CloudFront, chỉ có thể truy cập nội dung thông qua một số chức năng. Với URL được ký và Cookie được ký, tính năng Xác thực mã thông báo sẽ được hỗ trợ để giới hạn chỉ người xem đã xác thực mới có thể truy cập. Thông qua chức năng giới hạn địa lý, người dùng ở một số vị trí địa lý cụ thể có thể bị ngăn truy cập vào nội dung được phân phối thông qua CloudFront. Với tính năng Origin Access Identity (OAI), quyền truy cập có thể bị giới hạn ở vùng lưu trữ Amazon S3, từ đó, chỉ có thể truy cập vùng lưu trữ từ CloudFront. Tìm hiểu thêm.

Tất cả cơ sở hạ tầng và quy trình của CloudFront (ngoại trừ các POP được nhúng của CloudFront) đều tuân thủ PCI-DSS Cấp 1, HIPAA và ISO 9001, ISO/IEC 27001:2013, 27017:2015, 27018:2019, SOC (1, 2 và 3), FedRAMP Moderate, v.v. để bảo đảm phân phối dữ liệu nhạy cảm một cách bảo mật.

CloudFront cung cấp khả năng lan truyền thay đổi nhanh chóng và vô hiệu hóa chỉ trong vài phút. Thông thường, các thay đổi được lan truyền đến biên chỉ trong vài phút, còn thời gian vô hiệu hóa là không đến hai phút

Amazon CloudFront cung cấp cho nhà phát triển API đầy đủ tính năng để tạo, cấu hình và duy trì phân phối CloudFront. Ngoài ra, nhà phát triển được truy cập một số công cụ như AWS CloudFormation, CodeDeploy, CodeCommit và SDK AWS để định cấu hình và triển khai khối lượng công việc bằng Amazon CloudFront.

Phân phối CloudFront được cấu hình với nhiều hành vi giúp kiểm soát cách CloudFront sẽ xử lý yêu cầu và những tính năng được áp dụng. Tùy chỉnh các hành vi CloudFront, chẳng hạn như cách CloudFront lưu vào bộ nhớ đệm, cách CloudFront giao tiếp với nguồn của bạn, tiêu đề và siêu dữ liệu nào được chuyển tiếp đến nguồn của bạn, tạo các biến thể nội dung bằng thao tác khóa trên bộ nhớ đệm linh hoạt, lựa chọn các chế độ nén, phần tiêu đề nào được thêm vào phản hồi HTTP của bạn, v.v. Với tính năng phát hiện thiết bị tích hợp sẵn, CloudFront có thể phát hiện loại thiết bị (Máy tính bàn, Máy tính bảng, Tivi thông minh hoặc Thiết bị di động) rồi gửi thông tin đó dưới dạng Tiêu đề HTTP mới đến ứng dụng của bạn để dễ dàng thích nghi biến thể nội dung hoặc các phản hồi khác. Amazon CloudFront cũng có thể phát hiện vị trí cấp quốc gia của người dùng yêu cầu để tùy chỉnh thêm phản hồi.

CloudFront mang đến các lựa chọn giá được cá nhân hóa bao gồm thanh toán theo mức sử dụng, Amazon CloudFront Security Savings Bundle và giá tùy chỉnh. Định giá thanh toán theo mức sử dụng rất đơn giản và không cần phí trả trước. Nếu bạn muốn nhận được chiết khấu, gói CloudFront Security Savings giúp bạn tiết kiệm đến 30% hóa đơn CloudFront để đổi lấy cam kết chi tiêu hàng tháng trong thời hạn 1 năm. Gói tiết kiệm này cũng bao gồm mức sử dụng AWS WAF miễn phí lên đến 10% chi tiêu cam kết hàng tháng. Đối với các khách hàng sẵn sàng đưa ra cam kết lưu lượng truy cập tối thiểu nhất định (thường từ 10 TB/tháng trở lên), chúng tôi cũng áp dụng các chiết khấu bổ sung đi kèm với giá cam kết riêng.

Tìm hiểu thêm về giá của Amazon CloudFront

Nếu dùng các vị trí nguồn của AWS như Amazon S3, Amazon EC2 hay Elastic Load Balancing, bạn sẽ không cần trả phí cho dữ liệu truyền từ vị trí nguồn sang Vị trí biên CloudFront (kiểu truyền dữ liệu này còn được gọi là tải nạp gốc). Để tìm hiểu thêm về tất cả các tính năng của Amazon CloudFront và cách thức cấu hình, vui lòng tham khảo Hướng dẫn dành cho nhà phát triển Amazon CloudFront.

Không phải tất cả các vị trí nguồn đều giống nhau và một số có thể liên quan đến các quy trình như đóng gói tức thời có chi phí tính toán trên mỗi GB đắt hơn so với việc tải nạp nội dung từ bộ nhớ. CloudFront cung cấp miễn phí các bộ nhớ đệm biên khu vực nhằm giảm gánh nặng vận hành đối với các vị trí nguồn và giảm chi phí vận hành. Có thể giảm thêm chi phí liên quan đến vị trí nguồn bằng cách sử dụng Origin Shield để giảm thiểu số lượng tác vụ tìm nạp gốc. Origin Shield cung cấp bộ nhớ đệm tập trung để tối ưu hóa tỷ lệ truy cập vào bộ nhớ đệm và thu gọn yêu cầu giữa các khu vực, dẫn đến chỉ có một yêu cầu gốc cho mỗi đối tượng.

Tìm hiểu thêm