本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon WAF 经典版如何与 Amazon CloudFront 功能配合使用
注意
这是 Amazon WAF Classic 文档。只有在 2019 年 11 月 Amazon WAF 之前创建了 Amazon WAF 资源（如规则和 Web ACL），并且尚未将其迁移到最新版本时，才应使用此版本。要迁移您的资源，请参阅将您的 Amazon WAF 经典资源迁移到 Amazon WAF。
有关的最新版本 Amazon WAF，请参阅Amazon WAF。
创建 Web ACL 时，可以指定希望 Cl Amazon WAF assic 检查的一个或多个 CloudFront 发行版。 Amazon WAF Classic 开始根据您在 Web ACL 中确定的条件允许、阻止或计算针对这些分配的 Web 请求。 CloudFront 提供了一些增强 Amazon WAF 经典版功能的功能。本章介绍几种您可以配置的方法，CloudFront 以使Classic CloudFront 和 Amazon WAF Classic更好地协同工作。
主题
在 CloudFront 自定义错误页面上使用 Amazon WAF 经典版
当 Amazon WAF Classic 根据您指定的条件阻止 Web 请求时，它会将 HTTP 状态码 403（禁止）返回到 CloudFront。接下来，将该状态码 CloudFront 返回给查看器。然后，查看器显示简要且采用稀疏格式的默认消息，如下所示：
Forbidden: You don't have permission to access /myfilename.html on this server.
如果您希望显示自定义错误消息（可能使用与网站其余部分相同的格式），则可以配置 CloudFront 为向查看者返回包含自定义错误消息的对象（例如 HTML 文件）。
注意
CloudFront 无法区分您的源站返回的 HTTP 状态码 403 和 Cl Amazon WAF assic 在请求被阻止时返回的 HTTP 状态码 403。这意味着，您无法根据 HTTP 状态代码 403 的不同原因返回不同的自定义错误页面。
有关 CloudFront 自定义错误页面的更多信息，请参阅 Amazon CloudFront 开发者指南中的自定义错误响应。
将 Amazon WAF Classic 与 CloudFront用于在您自己的 HTTP 服务器上运行的应用程序
当您将 Amazon WAF Classic 与配合使用时 CloudFront，您可以保护在任何 HTTP 网络服务器上运行的应用程序，无论是在亚马逊弹性计算云 (Amazon EC2) 中运行的网络服务器，还是您私下管理的网络服务器。您也可以配置 CloudFront 为要求在 CloudFront和您自己的 Web 服务器之间以及查看者和 CloudFront之间使用 HTTPS。
需要在 CloudFront 和你自己的网络服务器之间使用 HTTPS
要要求在 CloudFront 和您自己的网络服务器之间使用 HTTPS，您可以使用 CloudFront 自定义源功能，并为特定来源配置源协议策略和源域名设置。在您的 CloudFront 配置中，您可以指定服务器的 DNS 名称以及从源中获取对象时 CloudFront 要使用的端口和协议。您还应确保自定义源服务器上的 SSL/TLS 证书与您已配置的源域名匹配。在以外使用自己的 HTTP Web 服务器时 Amazon，必须使用由受信任的第三方证书颁发机构 (CA) 签名的证书，例如 Comodo 或 Symante DigiCert c。有关要求在 CloudFront和您自己的网络服务器之间进行通信时需要 HTTPS 的更多信息，请参阅《亚马逊 CloudFront 开发者指南》中的 “需要使用 HTTPS 才能 CloudFront 与您的自定义源进行通信” 主题。
需要在查看器和之间使用 HTTPS CloudFront
要要求在查看者和之间使用 HTTPS CloudFront，您可以更改 CloudFront分配中一个或多个缓存行为的查看者协议策略。有关在观看者和之间使用 HTTPS 的更多信息 CloudFront，请参阅 Amazon CloudFront 开发者指南 CloudFront中的 “观看者之间需要使用 HTTPS 才能进行通信” 主题。您也可以带上自己的 SSL 证书，这样观众就可以使用自己的域名（例如 https://www.mysite.com）通过 HTTPS 连接到您的 CloudFront 发行版。有关更多信息，请参阅 Amazon CloudFront 开发者指南中的配置备用域名和 HTTPS 主题。
选择 CloudFront响应的 HTTP 方法
创建 Amazon CloudFront 网络分配时，您可以选择要 CloudFront 处理的 HTTP 方法并将其转发到您的来源。可从以下选项中进行选择：
GET，HEAD — 你 CloudFront 只能使用从原点获取对象或获取对象标题。
GE@@ T、H EAD、OPTIONS — 您 CloudFront 只能使用从您的来源获取对象、获取对象标头或检索源服务器支持的选项列表。
GET、HEAD、OPTIONS、PUT、POST、PAT CH、DELETE — 您可以使用 CloudFront 获取、添加、更新和删除对象以及获取对象标题。此外，您可以执行其他 POST 操作，例如从 Web 表格提交数据。
您还可以使用 Amazon WAF 经典字符串匹配条件来允许或阻止基于 HTTP 方法的请求，如中所述使用字符串匹配条件。如果要使用 CloudFront 支持的方法组合，例如GET和HEAD，则无需将 Cl Amazon WAF assic 配置为阻止使用其他方法的请求。如果要允许组合 CloudFront 不支持的方法，例如GETHEAD、和，则可以配置 CloudFront 为响应所有方法POST，然后使用 Cl Amazon WAF assic 来阻止使用其他方法的请求。
有关选择 CloudFront 响应方法的更多信息，请参阅《Amazon CloudFront 开发者指南》中 “您在创建或更新 Web 分配时指定的值” 主题中的 “允许的 HTTP 方法”。