查询AWS API Gateway自定义域名使用的加密套件

AWS API Gateway控制台没有直接展示自定义域名加密套件的入口，你可以通过以下几种方式获取相关信息：

• AWS CLI查询
  执行命令 aws apigateway get-domain-name --domain-name "你的自定义域名"，返回的JSON结果中securityPolicy字段会显示当前使用的TLS策略（比如TLS_1_2）。API Gateway针对不同安全策略有固定的加密套件集合，TLS_1_2对应的套件包括：
  ECDHE-ECDSA-AES128-GCM-SHA256、ECDHE-RSA-AES128-GCM-SHA256、ECDHE-ECDSA-AES256-GCM-SHA384、ECDHE-RSA-AES256-GCM-SHA384、ECDHE-ECDSA-AES128-SHA256、ECDHE-RSA-AES128-SHA256、ECDHE-ECDSA-AES256-SHA384、ECDHE-RSA-AES256-SHA384

• 本地工具检测

  • 用openssl命令发起握手：openssl s_client -connect 你的自定义域名:443，输出内容里会显示实际协商使用的加密套件。
  • 用nmap扫描：nmap --script ssl-enum-ciphers -p 443 你的自定义域名，结果会列出该域名所有支持的加密套件。

• 对应安全策略的固定套件清单
  API Gateway的每个TLS安全策略都绑定了预定义的加密套件，只要确定控制台显示的securityPolicy，就能对应到固定的套件集合。

内容的提问来源于stack exchange，提问作者user3665818