AWS LB 粘性会话和 SameSite

Question

基于https://www.chromium.org/updates/same-site，如果没有指定 SameSite 属性，cookie 的处理方式会有所不同，因此在创建粘性会话 cookie 时，它​​应该包含 SameSite=None。您知道启用粘性会话时 AWS LB 将如何处理吗？它会被自动处理还是我们应该放置一些特殊的配置？

另一方面，此属性不适用于所有浏览器，因此我想知道是否也将考虑此属性。

提前致谢！

Answer 1

AWS 已在https://forums.aws.amazon.com/ann.jspa?annID=7413上发布了更新。有些情况会自动起作用，而另一些情况则需要更改。

使用案例 #1：具有 CORS 使用案例的客户在 CLB 和 ALB 上使用基于持续时间的 cookie 粘性和/或在 ALB 上启用粘性的加权目标组功能：虽然这些 CORS 使用案例受到 Chromium 更新的影响，但使用 Elastic Load Balancer 的客户 ( ELB）不需要执行任何操作。AWSELB (CLB)、AWSALB (ALB) 和 AWSALBTG（ALB 加权目标组）将在启用粘性的情况下向客户端提供每个请求的响应，并包含加密的负载，其中包括会话和后端目标的详细信息，其中与客户端的会话相关联。为了在 Chromium 更新后继续支持 CORS 用例，我们为每个基于持续时间的粘性功能创建额外的粘性 cookie，分别命名为 AWSELBCORS (CLB)、AWSALBCORS (ALB) 和 AWSALBTGCORS（ALB 加权目标组）。除了 cookie 属性“SameSite=None;”之外 安全”，这些 cookie 将与原始 ELB 生成的粘性 cookie 相同。包括此更改的软件更新将于 2020 年 2 月 4 日之前部署到所有 CLB 和 ALB。您可以通过向支持粘性的负载均衡器发出 HTTPS 请求并确认您收到新的 cookie 来确认此更改正在启用粘性的负载均衡器上运行。原来的饼干。

用例#2：具有 CORS 用例的客户在 CLB 上使用 HTTPS 和应用程序 cookie 粘性：使用应用程序 cookie 粘性的 CLB 复制您在后端配置的 cookie 的属性。目前支持“secure”属性，我们正在部署更改以支持“SameSite”属性。此更改的软件更新正在进行中，并将于 2020 年 1 月 26 日完成。为了确保在 Chromium 更新后粘性继续适用于您的 CORS 用例，您将需要更新您之前在后端目标中的应用程序 cookie创建以包含 'SameSite=None; 2020 年 1 月 26 日之后确保安全。

用例 #3：具有 CORS 用例的客户在 CLB 上使用具有应用程序 cookie 粘性的非 HTTPS：如果您没有在启用粘性的 CLB 上为 CORS 用例使用 HTTPS，则需要将该工作负载迁移到 HTTPS 或非 CORS 配置。这项工作可能是您必须为用例 #2 执行的任何工作的补充。