unfor19/cloudfront-auth

镜像概述

unfor19/cloudfront-auth是一个用于自动化构建AWS CloudFront Lambda@Edge身份验证函数的Docker镜像。它支持OAuth2/OIDC协议，兼容Google SSO、Azure AD、GitHub、OKTA、Auth0等主流身份提供商，帮助用户为CloudFront分发配置安全的请求认证机制。

核心功能

• 自动生成RSA密钥对，用于签署和验证JWT会话令牌。
• 支持多身份提供商配置，通过环境变量灵活设置认证参数。
• 输出可直接部署的Lambda@Edge函数ZIP包，包含依赖和配置。
• 提供调试和本地开发支持，便于自定义函数逻辑。

使用场景

• 保护CloudFront分发的私有S3内容，仅允许授权用户访问。
• 为EC2、API Gateway等CloudFront源提供统一的身份验证入口。
• 企业级应用中实现集中式访问控制，确保资源安全。

配置说明

前提条件

• 已安装Docker。
• 已在目标身份提供商（如Google）创建应用并获取客户端ID、密钥等参数。

部署示例

1. 设置环境变量
   创建.env文件（以Google SSO为例）：

   bash
   AUTHN="GOOGLE"
   AUTH_AUTHZ="HOSTED_DOMAIN"
   AUTH_HOST_DOMAIN="example.com"
   AUTH_REDIRECT_URI="https://app.example.com/_callback"
   AUTH_CLIENT_ID="你的Google客户端ID"
   AUTH_CLIENT_SECRET="你的Google客户端密钥"
   AUTH_CLOUDFRONT_DIST_ID="你的CloudFront分发ID"
   AUTH_SESSION_DURATION_HOURS=12
   

2. 生成Lambda函数包
   运行容器生成ZIP文件：

   bash
   docker run --rm -it --env-file .env \
     -v "${PWD}/distributions/":/usr/src/app/distributions/ \
     -v "${PWD}/out/":/usr/src/app/out/ \
     unfor19/cloudfront-auth
   

   生成的ZIP包将保存在./out/目录，命名格式为{CloudFront分发ID}.zip。

3. 部署到AWS
   将ZIP包上传至AWS Lambda，并配置为CloudFront的Viewer-Request触发器。

本地开发

如需自定义镜像：

1. 克隆仓库：git clone https://github.com/unfor19/cloudfront-auth.git
2. 构建开发镜像：docker build -t cloudfront-auth:dev --target=dev .
3. 运行开发容器：docker run --rm -it --env-file .env -v "$PWD":/usr/src/app/ cloudfront-auth:dev
4. 构建函数：在容器内执行yarn build:ci生成 artifacts。