Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erstellen Sie einen HTTPS Listener für Ihren Application Load Balancer
Ein Listener überprüft Verbindungsanforderungen. Sie definieren einen Listener, wenn Sie Ihren Load Balancer erstellen, und Sie können Listener jederzeit zu Ihrem Load Balancer hinzufügen.
Um einen HTTPS Listener zu erstellen, müssen Sie mindestens ein SSL Serverzertifikat auf Ihrem Load Balancer bereitstellen. Der Load Balancer verwendet ein Serverzertifikat, um die Frontend-Verbindung zu beenden und dann Anfragen von Clients zu entschlüsseln, bevor er sie an die Ziele sendet. Sie müssen außerdem eine Sicherheitsrichtlinie angeben, die verwendet wird, um sichere Verbindungen zwischen Clients und dem Load Balancer auszuhandeln.
Wenn Sie verschlüsselten Datenverkehr an Ziele weiterleiten müssen, ohne dass der Load Balancer ihn entschlüsselt, können Sie einen Network Load Balancer oder Classic Load Balancer mit einem TCP Listener auf Port 443 erstellen. Mit einem TCP Listener leitet der Load Balancer verschlüsselten Datenverkehr an die Ziele weiter, ohne ihn zu entschlüsseln.
Application Load Balancer unterstützen keine Schlüssel. ED25519
Die Informationen auf dieser Seite helfen Ihnen, einen HTTPS Listener für Ihren Load Balancer zu erstellen. Informationen zum Hinzufügen eines HTTP Listeners zu Ihrem Load Balancer finden Sie unter. Erstellen Sie einen HTTP Listener für Ihren Application Load Balancer
Inhalt
SSLzertifikate
Der Load Balancer benötigt X.509-Zertifikate (SSL/TLSServerzertifikate). Zertifikate sind eine digitale Methode zur Identifizierung. Sie werden von einer Zertifizierungsstelle (Certificate Authority, CA) ausgestellt. Ein Zertifikat enthält Identifizierungsdaten, einen Gültigkeitszeitraum, den öffentlichen Schlüssel, eine Seriennummer und die digitale Signatur des Ausstellers.
Wenn Sie ein Zertifikat zur Verwendung mit Ihrem Load Balancer erstellen, müssen Sie einen Domainnamen angeben. Der Domainname auf dem Zertifikat muss mit dem Datensatz für den benutzerdefinierten Domainnamen übereinstimmen, damit wir die Verbindung überprüfen können. TLS Stimmen sie nicht überein, wird der Datenverkehr nicht verschlüsselt.
Sie müssen einen vollqualifizierten Domainnamen (FQDN) für Ihr Zertifikat angeben, z. B. www.example.com oder einen Apex-Domänennamen wieexample.com. Sie können auch ein Sternchen (*) als Platzhalter verwenden, um mehrere Websitenamen in derselben Domain zu schützen. Wenn Sie ein Platzhalter-Zertifikat anfordern, muss sich das Sternchen (*) ganz links im Domainnamen befinden und es kann nur eine Subdomain-Ebene geschützt werden. *.example.com schützt beispielsweise corp.example.com und images.example.com, aber es kann test.login.example.com nicht schützen. Beachten Sie außerdem, dass *.example.com nur die Subdomains von example.com schützt, jedoch nicht die bare- oder apex-Domain (example.com). Der Platzhaltername wird im Feld Subjekt und in der Erweiterung Alternativer Subjekt-Name des ACM-Zertifikats angezeigt. Weitere Informationen zum Anfordern öffentlicher Zertifikate finden Sie unter Anfordern eines öffentlichen Zertifikats im AWS Certificate Manager -Benutzerhandbuch.
Wir empfehlen, dass Sie Zertifikate für Ihren Load Balancer mithilfe von AWS Certificate Manager () ACM
Alternativ können Sie die TLS ToolsSSL/verwenden, um eine Zertifikatssignierungsanforderung (CSR) zu erstellen, diese dann von einer Zertifizierungsstelle CSR signieren zu lassen, um ein Zertifikat zu erstellen, und dann das Zertifikat in AWS Identity and Access Management (IAM) importieren ACM oder das Zertifikat hochladen. Weitere Informationen zum Importieren von Zertifikaten in ACM finden Sie unter Zertifikate importieren im AWS Certificate Manager Benutzerhandbuch. Weitere Informationen zum Hochladen von Zertifikaten auf IAM finden Sie unter Arbeiten mit Serverzertifikaten im IAMBenutzerhandbuch.
Standardzertifikat
Wenn Sie einen HTTPS Listener erstellen, müssen Sie genau ein Zertifikat angeben. Dieses Zertifikat wird als Standardzertifikat bezeichnet. Sie können das Standardzertifikat ersetzen, nachdem Sie den HTTPS Listener erstellt haben. Weitere Informationen finden Sie unter Ersetzen des Standardzertifikats.
Wenn Sie zusätzliche Zertifikate in einer Zertifikatsliste angeben, wird das Standardzertifikat nur verwendet, wenn ein Client eine Verbindung herstellt, ohne das Server Name Indication (SNI) -Protokoll zur Angabe eines Hostnamens zu verwenden, oder wenn die Zertifikatsliste keine passenden Zertifikate enthält.
Wenn Sie keine zusätzlichen Zertifikate angeben, aber mehrere sichere Anwendungen über einen einzigen Load Balancer hosten müssen, können Sie ein Platzhalterzertifikat verwenden oder Ihrem Zertifikat für jede weitere Domäne einen alternativen Betreffnamen (SAN) hinzufügen.
Zertifikatliste
Nachdem Sie einen HTTPS Listener erstellt haben, hat er ein Standardzertifikat und eine leere Zertifikatsliste. Optional können Sie der Zertifikatliste für den Listener Zertifikate hinzufügen. Ein Load Balancer kann dann mehrere Domains über denselben Port unterstützen und ein anderes Zertifikat für jede Domain bereitstellen. Weitere Informationen finden Sie unter Hinzufügen von Zertifikaten zu einer Zertifikatliste.
Der Load Balancer verwendet einen intelligenten Algorithmus zur Zertifikatsauswahl mit Unterstützung für. SNI Wenn der von einem Client bereitgestellte Hostname nur mit einem Zertifikat in der Zertifikatliste übereinstimmt, wählt der Load Balancer das entsprechende Zertifikat aus. Wenn ein von einem Client bereitgestellter Hostname mehreren Zertifikaten in der Zertifikatliste entspricht, wählt der Load Balancer das beste vom Client unterstützte Zertifikat. Die Auswahl des Zertifikats basiert auf den folgenden Kriterien in der angegebenen Reihenfolge:
-
Algorithmus mit öffentlichem Schlüssel (lieber ECDSA alsRSA)
-
Hashing-Algorithmus (lieber SHA alsMD5)
-
Schlüssellänge (der längste Schlüssel wird bevorzugt)
-
Gültigkeitszeitraum
Die Load Balancer-Zugriffsprotokolleinträge enthalten den vom Client angegebenen Hostnamen und das dem Client präsentierte Zertifikat. Weitere Informationen finden Sie unter Zugriffsprotokolleinträge.
Zertifikatserneuerung
Jedes Zertifikat verfügt über einen Gültigkeitszeitraum. Sie müssen sicherstellen, dass Sie jedes Zertifikat für Ihren Load Balancer vor dem Ablauf des Gültigkeitszeitraum erneuern oder ersetzen. Dies schließt das Standardzertifikat und Zertifikate in der Zertifikatliste ein. Das Verlängern oder Ersetzen eines Zertifikats wirkt sich nicht auf Anforderungen aus, die bereits verarbeitet werden, von einem Load Balancer-Knoten empfangen wurden und deren Weiterleitung an ein fehlerfreies Ziel aussteht. Nachdem ein Zertifikat verlängert wurde, verwenden neue Anforderungen das verlängerte Zertifikat. Nachdem ein Zertifikat ersetzt wurde, verwenden neue Anforderungen das neue Zertifikat.
Sie können das Verlängern und Ersetzen von Zertifikaten folgendermaßen verwalten:
-
Zertifikate, die von Ihrem Load Balancer bereitgestellt AWS Certificate Manager und dort bereitgestellt werden, können automatisch erneuert werden. ACMversucht, Zertifikate zu erneuern, bevor sie ablaufen. Weitere Informationen finden Sie unter Verwaltete Erneuerung im AWS Certificate Manager -Benutzerhandbuch.
-
Wenn Sie ein Zertifikat in importiert habenACM, müssen Sie das Ablaufdatum des Zertifikats überwachen und es verlängern, bevor es abläuft. Weitere Informationen finden Sie unter Importieren von Zertifikaten im AWS Certificate Manager -Benutzerhandbuch.
-
Wenn Sie ein Zertifikat in importiert habenIAM, müssen Sie ein neues Zertifikat erstellen, das neue Zertifikat in ACM oder importierenIAM, das neue Zertifikat zu Ihrem Load Balancer hinzufügen und das abgelaufene Zertifikat aus Ihrem Load Balancer entfernen.
Sicherheitsrichtlinien
Elastic Load Balancing verwendet eine Secure Socket Layer (SSL) -Verhandlungskonfiguration, die als Sicherheitsrichtlinie bezeichnet wird, um SSL Verbindungen zwischen einem Client und dem Load Balancer auszuhandeln. Eine Sicherheitsrichtlinie ist eine Kombination aus Protokollen und Verschlüsselungen. Das Protokoll stellt eine sichere Verbindung zwischen einem Client und einem Server her und stellt sicher, dass alle Daten, die zwischen dem Client und Ihres Load Balancers übertragen werden, privat sind. Ein Verschlüsselungsverfahren ist ein Algorithmus, der eine kodierte Nachricht mithilfe von Verschlüsselungsschlüsseln erstellt. Protokolle verwenden mehrere Verschlüsselungsverfahren zum Verschlüsseln von Daten über das Internet. Während der Verbindungsaushandlung präsentieren der Client und der Load Balancer eine Liste von Verschlüsselungsverfahren und Protokollen, die sie jeweils unterstützen, nach Priorität sortiert. Standardmäßig wird für die sichere Verbindung die erste Verschlüsselung auf der Liste des Servers ausgewählt, die mit einem der Verschlüsselungsverfahren des Clients übereinstimmt.
Überlegungen:
-
Application Load Balancers unterstützen die SSL Neuverhandlung nur für Zielverbindungen.
-
Application Load Balancer unterstützen keine benutzerdefinierten Sicherheitsrichtlinien.
-
Die
ELBSecurityPolicy-TLS13-1-2-2021-06Richtlinie ist die Standardsicherheitsrichtlinie für HTTPS Listener, die mit dem erstellt wurden. AWS Management Console -
Die
ELBSecurityPolicy-2016-08Richtlinie ist die Standardsicherheitsrichtlinie für HTTPS Listener, die mit dem erstellt wurden. AWS CLI -
Wenn Sie einen HTTPS Listener erstellen, müssen Sie eine Sicherheitsrichtlinie auswählen.
-
Wir empfehlen die
ELBSecurityPolicy-TLS13-1-2-2021-06Sicherheitsrichtlinie, die TLS 1.3 beinhaltet und mit TLS 1.2 abwärtskompatibel ist.
-
-
Sie können die Sicherheitsrichtlinie wählen, die für Front-End-Verbindungen verwendet wird, aber nicht für Back-End-Verbindungen.
-
Wenn bei Backend-Verbindungen einer Ihrer HTTPS Zuhörer eine TLS 1.3-Sicherheitsrichtlinie verwendet, wird die
ELBSecurityPolicy-TLS13-1-0-2021-06Sicherheitsrichtlinie verwendet. Andernfalls wird dieELBSecurityPolicy-2016-08-Sicherheitsrichtlinie für Backend-Verbindungen verwendet.
-
-
Um die Compliance- und Sicherheitsstandards zu erfüllen, die die Deaktivierung bestimmter TLS Protokollversionen erfordern, oder um ältere Clients zu unterstützen, die veraltete Verschlüsselungen benötigen, können Sie eine der Sicherheitsrichtlinien verwenden.
ELBSecurityPolicy-TLS-Um die TLS Protokollversion für Anfragen an Ihren Application Load Balancer anzuzeigen, aktivieren Sie die Zugriffsprotokollierung für Ihren Load Balancer und überprüfen Sie die entsprechenden Zugriffsprotokolleinträge. Weitere Informationen finden Sie unter Zugriffsprotokolle für Ihren Application Load Balancer. -
Sie können einschränken, welche Sicherheitsrichtlinien Benutzern in Ihrem AWS-Konten Land zur Verfügung stehen, AWS Organizations indem Sie die Elastic Load Balancing Balancing-Bedingungsschlüssel in Ihren IAM bzw. Service Control-Richtlinien (SCPs) verwenden. Weitere Informationen finden Sie unter Richtlinien zur Servicesteuerung (SCPs) im AWS Organizations Benutzerhandbuch
-
Application Load Balancers unterstützen die TLS Wiederaufnahme mithilfe von PSK (TLS1.3) und IDs Sitzungs-/Sitzungstickets (TLS1.2 und älter). Wiederaufnahmen werden nur bei Verbindungen mit derselben Application Load Balancer Balancer-IP-Adresse unterstützt. Die Funktion 0- RTT Data und die Erweiterung early_data sind nicht implementiert.
TLS1.3 Sicherheitsrichtlinien
Elastic Load Balancing bietet die folgenden TLS 1.3-Sicherheitsrichtlinien für Application Load Balancer:
-
ELBSecurityPolicy-TLS13-1-2-2021-06(Empfohlen) -
ELBSecurityPolicy-TLS13-1-2-Res-2021-06 -
ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 -
ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 -
ELBSecurityPolicy-TLS13-1-1-2021-06 -
ELBSecurityPolicy-TLS13-1-0-2021-06 -
ELBSecurityPolicy-TLS13-1-3-2021-06
FIPSSicherheitsrichtlinien
Wichtig
Alle sicheren Listener, die an einen Application Load Balancer angeschlossen sind, müssen entweder FIPS Sicherheitsrichtlinien oder FIPS Nichtsicherheitsrichtlinien verwenden; sie können nicht gemischt werden. Wenn ein vorhandener Application Load Balancer über zwei oder mehr Listener verfügt, die keine FIPS Richtlinien verwenden, und Sie möchten, dass die Listener stattdessen FIPS Sicherheitsrichtlinien verwenden, entfernen Sie alle Listener, bis nur noch einer vorhanden ist. Ändern Sie die Sicherheitsrichtlinie des Listeners in FIPS und erstellen Sie dann weitere Listener mithilfe von Sicherheitsrichtlinien. FIPS Alternativ können Sie einen neuen Application Load Balancer mit neuen Listenern erstellen, die nur FIPS Sicherheitsrichtlinien verwenden.
Der Federal Information Processing Standard (FIPS) ist ein US-amerikanischer und kanadischer Regierungsstandard, der die Sicherheitsanforderungen für kryptografische Module zum Schutz vertraulicher Informationen festlegt. Weitere Informationen finden Sie unter Federal Information Processing Standard (FIPS) 140
Alle FIPS Richtlinien nutzen das von AWS -LC FIPS validierte kryptografische Modul. Weitere Informationen finden Sie auf der Seite AWS-LC Cryptographic Module auf der Website des NISTCryptographic Module
Elastic Load Balancing bietet die folgenden FIPS Sicherheitsrichtlinien für Application Load Balancer:
-
ELBSecurityPolicy-TLS13-1-3-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-2-Res-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-2-FIPS-2023-04(Empfohlen) -
ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04 -
ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04
Von FS unterstützte Richtlinien
Elastic Load Balancing bietet die folgenden von FS (Forward Secrecy) unterstützten Sicherheitsrichtlinien für Application Load Balancer:
-
ELBSecurityPolicy-FS-1-2-Res-2020-10 -
ELBSecurityPolicy-FS-1-2-Res-2019-08 -
ELBSecurityPolicy-FS-1-2-2019-08 -
ELBSecurityPolicy-FS-1-1-2019-08 -
ELBSecurityPolicy-FS-2018-06
TLS1.0 — 1.2 Sicherheitsrichtlinien
Elastic Load Balancing bietet die folgenden Sicherheitsrichtlinien der Versionen TLS 1.0 bis 1.2 für Application Load Balancer:
-
ELBSecurityPolicy-TLS-1-2-Ext-2018-06 -
ELBSecurityPolicy-TLS-1-2-2017-01 -
ELBSecurityPolicy-TLS-1-1-2017-01 -
ELBSecurityPolicy-2016-08 -
ELBSecurityPolicy-TLS-1-0-2015-04 -
ELBSecurityPolicy-2015-05(identisch mit)ELBSecurityPolicy-2016-08
TLSProtokolle und Chiffren
Fügen Sie einen HTTPS Listener hinzu
Sie konfigurieren einen Listener mit einem Protokoll und einem Port für Verbindungen von Clients zum Load Balancer und einer Zielgruppe für die standardmäßige Listener-Regel. Weitere Informationen finden Sie unter Listener-Konfiguration.
Voraussetzungen
-
Um einen HTTPS Listener zu erstellen, müssen Sie ein Zertifikat und eine Sicherheitsrichtlinie angeben. Der Load Balancer verwendet ein Zertifikat, um die Verbindung zu beenden und Anforderungen von Clients zu entschlüsseln, bevor er sie an Ziele weiterleitet. Der Load Balancer verwendet die Sicherheitsrichtlinie bei der Aushandlung von SSL Verbindungen mit den Clients.
-
Um eine Weiterleitungsaktion zur Standard-Listener-Regel hinzuzufügen, müssen Sie eine verfügbare Zielgruppe angeben. Weitere Informationen finden Sie unter Erstellen Sie eine Zielgruppe für Ihren Application Load Balancer.
-
Sie können dieselbe Zielgruppe in mehreren Listenern angeben, aber diese Listener müssen demselben Load Balancer angehören. Um eine Zielgruppe mit einem Load Balancer zu verwenden, müssen Sie sicherstellen, dass sie nicht von einem Listener verwendet wird, der einem anderen Load Balancer angehört.
Um einen HTTPS Listener mithilfe der Konsole hinzuzufügen
Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/
. -
Wählen Sie im Navigationsbereich Load Balancers aus.
-
Wählen Sie den Load Balancer aus.
-
Wählen Sie auf der Registerkarte Listener und Regeln die Option Listener hinzufügen aus.
-
Wählen Sie für Protokoll: Port den Standardport aus HTTPSund behalten Sie ihn bei, oder geben Sie einen anderen Port ein.
-
(Optional) Um die Authentifizierung zu aktivieren, wählen Sie unter Authentifizierung die Option OpenID oder Amazon Cognito verwenden aus und geben Sie die angeforderten Informationen ein. Weitere Informationen finden Sie unter Authentifizieren von Benutzern mithilfe eines Application Load Balancers.
-
Führen Sie für Default actions (Standardaktionen) einen der folgenden Schritte aus:
-
Zu Zielgruppen weiterleiten – Wählen Sie eine oder mehrere Zielgruppen aus, an die der Datenverkehr weitergeleitet werden soll. Um Zielgruppen hinzuzufügen, wählen Sie Zielgruppe hinzufügen aus. Wenn Sie mehr als eine Zielgruppe verwenden, wählen Sie für jede Zielgruppe eine Gewichtung aus und überprüfen Sie den zugehörigen Prozentsatz. Sie müssen die Stickiness auf Gruppenebene für eine Regel aktivieren, wenn Sie die Stickiness für eine oder mehrere Zielgruppen aktiviert haben.
-
Umleiten zu URL — Geben Sie anURL, an welche Client-Anfragen umgeleitet werden sollen. Dies kann geschehen, indem Sie jeden Teil einzeln auf der Registerkarte URITeile eingeben oder indem Sie die vollständige Adresse auf der URL Registerkarte Vollständig eingeben. Für den Statuscode können Sie je nach Bedarf entweder temporäre (HTTP302) oder permanente (HTTP301) Weiterleitungen konfigurieren.
-
Feststehende Antwort zurückgeben – Geben Sie den Antwortcode an, der bei verworfenen Client-Anforderungen zurückgegeben wird. Darüber hinaus können Sie den Inhaltstyp und den Antworttext angeben. Diese sind jedoch nicht erforderlich.
-
-
Wir empfehlen, dass Sie für Sicherheitsrichtlinie immer die neueste vordefinierte Sicherheitsrichtlinie verwenden.
-
Für das TLSZertifikat DefaultSSL/sind die folgenden Optionen verfügbar:
-
Wenn Sie ein Zertifikat mithilfe von erstellt oder importiert haben AWS Certificate Manager, wählen Sie Von ACM und dann das Zertifikat unter Zertifikat auswählen aus.
-
Wenn Sie ein Zertifikat mit importiert habenIAM, wählen Sie Von IAM und dann unter Zertifikat auswählen Ihr Zertifikat aus.
-
Wenn Sie ein Zertifikat importieren möchten, das in Ihrer Region jedoch nicht verfügbar ACM ist, wählen Sie Importieren und dann Nach ausIAM. Geben Sie im Feld Zertifikatname den Namen des Zertifikats ein. Kopieren Sie in das Feld Privates Zertifikat den Inhalt der privaten Schlüsseldatei (PEM-kodiert) und fügen Sie ihn ein. Kopieren Sie im Feld Zertifikatstext den Inhalt der Zertifikatsdatei mit öffentlichem Schlüssel (PEM-kodiert) und fügen Sie ihn ein. Kopieren Sie in Certificate Chain den Inhalt der Zertifikatskettendatei (PEM-kodiert) und fügen Sie ihn ein, es sei denn, Sie verwenden ein selbstsigniertes Zertifikat und es ist nicht wichtig, dass Browser das Zertifikat implizit akzeptieren.
-
-
(Optional) Um die gegenseitige Authentifizierung zu aktivieren, aktivieren Sie unter Verwaltung von Client-Zertifikaten die Option Gegenseitige Authentifizierung (m). TLS
Wenn diese Option aktiviert ist, ist der TLS Standardmodus für Gegenseitigkeit Passthrough.
Wenn Sie „Mit Trust Store verifizieren“ wählen:
-
Standardmäßig werden Verbindungen mit abgelaufenen Client-Zertifikaten abgelehnt. Um dieses Verhalten zu ändern, erweitern Sie Erweiterte TLS M-Einstellungen und wählen Sie dann unter Ablauf des Client-Zertifikats die Option Abgelaufene Client-Zertifikate zulassen aus.
-
Wählen Sie unter Trust Store einen vorhandenen Trust Store aus, oder wählen Sie Neuer Trust Store aus.
-
Wenn Sie Neuer Vertrauensspeicher ausgewählt haben, geben Sie einen Namen für den Vertrauensspeicher, den Standort der URIS3-Zertifizierungsstelle und optional einen Speicherort für die URIS3-Zertifikatssperrliste an.
-
-
-
Wählen Sie Save (Speichern) aus.
Um einen HTTPS Listener hinzuzufügen, verwenden Sie AWS CLI
Verwenden Sie den Befehl create-listener, um den Listener und die Standardregel zu erstellen, und den Befehl create-rule, um zusätzliche Listener-Regeln zu definieren.
