如何在AWS Workmail中启用IMAP协议的mTLS？

现状确认 #

目前AWS Workmail原生不支持IMAP协议的双向TLS（mTLS）连接：

• 查阅AWS官方文档及公开资料，均无Workmail支持IMAP mTLS的相关说明；通过AWS技术支持渠道咨询，也确认该功能暂未上线。
• AWS当前仅在API Gateway、Application Load Balancer等部分服务中提供mTLS能力，Workmail不在此列。

可能的替代实现方案 #

如果业务必须要求IMAP访问的mTLS验证，可通过中间代理层间接实现：

• 部署反向代理服务器：在EC2上部署Nginx或HAProxy等代理服务，为代理的IMAP端口配置mTLS（要求客户端提供有效证书才能建立连接），再将请求转发到Workmail官方的IMAP端点（默认imap.mail.<region>.awsapps.com:993，使用单向TLS）。
• 限制代理访问权限：在Workmail的组织设置中配置IP白名单，仅允许代理服务器的IP地址访问，避免未经过mTLS验证的流量直接触达Workmail。

注意事项 #

• 代理方案需要自行维护证书生命周期、服务器高可用性及安全补丁，会增加额外运维成本。
• 若为企业级核心需求，可通过AWS Support提交功能请求，推动Workmail原生支持IMAP mTLS。

内容的提问来源于stack exchange，提问作者Gleb