HSTS на Amazon CloudFront от источника S3

Обновление об этом...

Заголовки HTTP-ответа теперь можно настраивать с помощью функций Lambda@edge. Пожалуйста, смотрите http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/lambda-at-the-edge.html для документации. Чтобы попробовать это, создайте новую лямбда-функцию в консоли AWS. Выберите "Edge Nodge.js 4.3" для языка и найдите шаблон cloudfront-modify-response-header. Если вы сделаете это, Lambda спросит вас, к какому распределению и событию CloudFront применить функцию. Обратите внимание, что вы можете изменить или изменить это в любое время, перейдя на вкладку поведения Cloudfront.

Вот пример лямбда-функции...

'use strict';
exports.handler = (event, context, callback) => {

    const response = event.Records[0].cf.response;
    response.headers['Strict-Transport-Security'] = 'max-age=2592000; includeSubDomains';

    callback(null, response);
};

Чтобы добавить к ответу Андрея:

Я только что попробовал это и пару замечаний: больше нет определенной среды выполнения ребра nodejs, но лямбда должна быть создана в регионе Северная Вирджиния и инициирована ответом источника или ответом зрителя.

Код из коробки, кажется, больше не работает. Это дает ERR_CONTENT_DECODING_FAILED.

Решение состоит в том, чтобы использовать синтаксис JSON следующим образом:

response.headers['Strict-Transport-Security'] = [ { key: 'Strict-Transport-Security', value: "max-age=31536000; includeSubdomains; preload" } ];
response.headers['X-Content-Type-Options']    = [ { key: 'X-Content-Type-Options', value: "nosniff" } ];

Еще одно обновление по этому поводу...

Теперь вы можете добавлять собственные заголовки ответов HTTP (включая CORS и заголовки безопасности, такие как HSTS) непосредственно в CloudFront— без изменения источника или написания функций. Если вы перейдете в раздел «Политики» > «Заголовки ответов» в консоли, вы можете создать политику многократного использования с вашей конфигурацией, а затем прикрепить ее к одному или нескольким вариантам поведения кэша, куда вы хотите добавить эти заголовки. Это также доступно через API, CLI, SDK и т. д.

Документация доступна здесь:https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/adding-response-headers.html .

Правильно, поскольку Lambda@Edge, как правило, доступен, они ограничивают его N Вирджинией, и нужно выбрать Узел 6.10, а не Узел 4.3.

Соответствующая часть нашего кода ниже (для нашей цели это всегда будет постоянный редирект 302):

'use strict';
exports.handler = (event, context, callback) => {

  var request = event.Records[0].cf.request;
  const response = {
    status: '302',
    statusDescription: '302 Found',
    httpVersion: request.httpVersion,
    headers: {
      Location: [
        {
            "key":"Location",
            "value":"someURL"
        }
      ],
      'Strict-Transport-Security': [
        {
          "key":"Strict-Transport-Security",
          "value":'max-age=63072000; includeSubDomains; preload'
        }
      ],
    },
  };
  callback(null, response);
};

Настраивая различные варианты поведения в CloudFront, вы можете ограничить, какие запросы будут вызывать функцию Lambda.