Load Balancer Ihrer Elastic Beanstalk-Umgebung zum Terminieren von HTTPS konfigurieren

Wenn Sie Ihre AWS Elastic Beanstalk-Umgebung für die Verwendung von HTTPS aktualisieren müssen, konfigurieren Sie einen HTTPS-Listener für den Load Balancer in Ihrer Umgebung. Zwei Arten von Load Balancer unterstützen einen HTTPS-Listener: Classic Load Balancer und Application Load Balancer.

Sie können die Elastic Beanstalk-Konsole oder eine Konfigurationsdatei verwenden, um einen sicheren Listener zu konfigurieren und das Zertifikat zuzuweisen.

Anmerkung

Umgebungen mit einer Instance enthalten keinen Load Balancer und unterstützen die HTTPS-Terminierung am Load Balancer nicht.

Sicheren Listener mit der Elastic Beanstalk-Konsole konfigurieren

So weisen Sie ein Zertifikat zum Load Balancer Ihrer Umgebung hinzu

1. Öffnen Sie die Elastic-Beanstalk-Konsole und wählen Sie in der Liste Regions (Regionen) Ihre AWS-Region aus.

2. Wählen Sie im Navigationsbereich Environments (Umgebungen) aus und wählen Sie dann in der Liste den Namen Ihrer Umgebung aus.

   Anmerkung

   Wenn Sie viele Umgebungen haben, verwenden Sie die Suchleiste, um die Umgebungsliste zu filtern.

3. Wählen Sie im Navigationsbereich Configuration (Konfiguration) aus.

4. Wählen Sie in der Konfigurationskategorie Load Balancer die Option Edit (Bearbeiten) aus.

   Anmerkung

   Ist in der Konfigurationskategorie Load balancer die Schaltfläche Edit (Bearbeiten) nicht vorhanden, verfügt Ihre Umgebung über keinen Load Balancer.

5. Auf der Seite Modify load balancer (Load Balancer ändern) variiert die Vorgehensweise je nach dem Typ des Load Balancer, der Ihrer Umgebung zugeordnet ist.

   • Classic Load Balancer

     1. Wählen Sie Add listener (Listener hinzufügen) aus.

     2. Konfigurieren Sie im Dialogfeld Classic Load Balancer listener die folgenden Einstellungen:

        • Geben Sie für Listener port (Listener-Port) den Port für eingehenden Datenverkehr ein, in der Regel 443.

        • Wählen Sie für Listener protocol (Listener-Protokoll) die Option HTTPS aus.

        • Geben Sie für Instance port (Instance-Port) den Wert 80 ein.

        • Wählen Sie für Instance protocol (Instance-Protokoll) die Option HTTP aus.

        • Wählen Sie für SSL certificate (SSL-Zertifikat) Ihr Zertifikat aus.

     3. Wählen Sie Add (Hinzufügen) aus.

   • Application Load Balancer

     1. Wählen Sie Add listener (Listener hinzufügen) aus.

     2. Konfigurieren Sie im Dialogfeld Application Load Balancer listener die folgenden Einstellungen:

        • Geben Sie für Port den Port für eingehenden Datenverkehr ein, in der Regel 443.

        • Wählen Sie für Protocol (Protokoll) die Option HTTPS aus.

        • Wählen Sie für SSL certificate (SSL-Zertifikat) Ihr Zertifikat aus.

     3. Wählen Sie Add (Hinzufügen) aus.

     Anmerkung

     Wenn das Dropdown-Menü für Classic Load Balancer und Application Load Balancer keine Zertifikate anzeigt, sollten Sie ein Zertifikat für Ihren benutzerdefinierten Domänennamen in AWS Certificate Manager (ACM) erstellen oder hochladen (bevorzugt). Alternativ können Sie mit der AWS CLI ein Zertifikat in IAM hochladen.

   • Network Load Balancer

     1. Wählen Sie Add listener (Listener hinzufügen) aus.

     2. Geben Sie im Dialogfeld Network Load Balancer-Listener für Port den Port für eingehenden Datenverkehr ein, normalerweise 443.

     3. Wählen Sie Add (Hinzufügen) aus.

6. Wählen Sie unten auf der Seite die Option Apply (Anwenden) aus, um die Änderungen zu speichern.

Konfigurieren eines sicheren Listeners mit einer Konfigurationsdatei

Sie können einen sicheren Listener auf Ihrem Load Balancer mit einer der folgenden Konfigurationsdateien konfigurieren.

Beispiel .ebextensions/securelistener-clb.config

Verwenden Sie dieses Beispiel, wenn Ihre Umgebung über einen Classic Load Balancer verfügt. Im Beispiel werden Optionen im aws:elb:listener-Namespace verwendet, um einen HTTPS-Listener auf Port 443 mit dem angegebenen Zertifikat zu konfigurieren und den verschlüsselten Datenverkehr an die Instances in Ihrer Umgebung auf Port 80 weiterzuleiten.

option_settings:
  aws:elb:listener:443:
    SSLCertificateId: arn:aws:acm:us-east-2:1234567890123:certificate/####################################
    ListenerProtocol: HTTPS
    InstancePort: 80

Ersetzen Sie den markierten Text mit dem ARN Ihres Zertifikats. Dies kann ein Zertifikat sein, das Sie entweder in AWS Certificate Manager (ACM) (bevorzugt) erstellt oder hochgeladen haben, oder das sie mit der AWS CLI zu IAM hochgeladen haben.

Weitere Informationen zu Classic Load Balancer-Konfigurationsoptionen finden Sie unter Classic Load Balancer-Konfiguration in Namespaces.

Beispiel .ebextensions/securelistener-alb.config

Verwenden Sie dieses Beispiel, wenn Ihre Umgebung über einen Application Load Balancer verfügt. Im Beispiel werden Optionen im aws:elbv2:listener-Namespace zum Konfigurieren eines HTTPS-Listener auf Port 443 mit dem angegebenen Zertifikat verwendet. Der Listener leitet den Datenverkehr an den Standardprozess weiter.

option_settings:
  aws:elbv2:listener:443:
    ListenerEnabled: 'true'
    Protocol: HTTPS
    SSLCertificateArns: arn:aws:acm:us-east-2:1234567890123:certificate/####################################

Beispiel .ebextensions/securelistener-nlb.config

Verwenden Sie dieses Beispiel, wenn Ihre Umgebung über einen Network Load Balancer verfügt. Im Beispiel werden Optionen im aws:elbv2:listener-Namespace zum Konfigurieren eines Listener auf Port 443 verwendet. Der Listener leitet den Datenverkehr an den Standardprozess weiter.

option_settings:
  aws:elbv2:listener:443:
    ListenerEnabled: 'true'

Konfigurieren einer Sicherheitsgruppe

Wenn Sie Ihren Load Balancer so konfigurieren, dass er Datenverkehr an einen anderen Instance-Port als Port 80 weiterleitet, müssen Sie der Sicherheitsgruppe eine entsprechende Regel hinzufügen, die eingehenden Datenverkehr über den Instance-Port von Ihrem Load Balancer zulässt. Wenn Sie Ihre Umgebung in einer benutzerdefinierten VPC erstellen, fügt Elastic Beanstalk diese Regel für Sie hinzu.

Sie fügen diese Regel durch das Hinzufügen eines Resources-Schlüssels zu einer Konfigurationsdatei im .ebextensions-Verzeichnis für Ihre Anwendung hinzu.

Die folgende Beispiel-Konfigurationsdatei fügt eine Ingress-Regel zur AWSEBSecurityGroup-Sicherheitsgruppe hinzu. Dadurch ist Datenverkehr auf Port 1000 von der Sicherheitsgruppe des Load Balancer zulässig.

Beispiel .ebextensions/sg-ingressfromlb.config

Resources:
  sslSecurityGroupIngress:
    Type: AWS::EC2::SecurityGroupIngress
    Properties:
      GroupId: {"Fn::GetAtt" : ["AWSEBSecurityGroup", "GroupId"]}
      IpProtocol: tcp
      ToPort: 1000
      FromPort: 1000
      SourceSecurityGroupName: {"Fn::GetAtt" : ["AWSEBLoadBalancer" , "SourceSecurityGroup.GroupName"]}