Actualizar un oyente HTTPS para el equilibrador de carga de aplicaciones

Después de crear un oyente HTTPS, puede reemplazar el certificado predeterminado, actualizar la lista de certificados o reemplazar la política de seguridad.

Reemplazar el certificado predeterminado

Puede reemplazar el certificado predeterminado para su oyente utilizando el siguiente procedimiento. Para obtener más información, consulte Certificado predeterminado.

Console

Para reemplazar el certificado predeterminado

1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

2. En el panel de navegación, seleccione Load Balancers.

3. Seleccione el equilibrador de carga.

4. En la pestaña Oyentes y reglas, elija el texto de la columna Protocolo:Puerto para abrir la página de detalles del oyente.

5. En la pestaña Certificados, elija Cambiar el valor predeterminado.

6. En la tabla de certificados de ACM e IAM, seleccione un nuevo certificado predeterminado.

7. (Opcional) De forma predeterminada, seleccionamos Añadir el certificado predeterminado anterior a la lista de certificados de los oyentes. Le recomendamos que mantenga esta opción seleccionada, a menos que actualmente no tenga certificados de escucha para el SNI y confíe en la reanudación de la sesión de TLS.

8. Seleccione Guardar como predeterminado.

AWS CLI

Para reemplazar el certificado predeterminado

Utilice el comando modify-oyente.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --certificates CertificateArn=new-default-certificate-arn

CloudFormation

Para reemplazar el certificado predeterminado

Actualice el AWS::ElasticLoadBalancingV2::Listener.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: new-default-certificate-arn

Añadir certificados a la lista de certificados

Puede añadir certificados a la lista de certificados para su oyente utilizando el siguiente procedimiento. Si creó el listener con el AWS Management Console, agregamos el certificado predeterminado a la lista de certificados por usted. De lo contrario, la lista de certificados está vacía. Al agregar el certificado predeterminado a la lista de certificados, se garantiza que este certificado se utilice con el protocolo SNI aunque se sustituya como certificado predeterminado. Para obtener más información, consulte Certificados SSL para el Equilibrador de carga de aplicación.

Console

Para agregar certificados a la lista de certificados

1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

2. En el panel de navegación, seleccione Load Balancers.

3. Seleccione el equilibrador de carga.

4. En la pestaña Oyentes y reglas, elija el texto de la columna Protocolo:Puerto para abrir la página de detalles del oyente.

5. Seleccione la pestaña Certificados.

6. Para añadir el certificado predeterminado a la lista, selecciona Añadir el certificado predeterminado a la lista.

7. Para agregar certificados no predeterminados a la lista, haga lo siguiente:

   1. Seleccione Añadir certificado.

   2. Para agregar certificados que ya administra ACM o IAM, seleccione las casillas de verificación de los certificados y elija Incluir como pendiente a continuación.

   3. Para añadir un certificado que no esté gestionado por ACM o IAM, selecciona Importar certificado, completa el formulario y selecciona Importar.

   4. Elija Agregar certificados pendientes.

AWS CLI

Para añadir un certificado a la lista de certificados

Utilice el comando add-listener-certificates.

aws elbv2 add-listener-certificates \
    --listener-arn listener-arn \
    --certificates \
        CertificateArn=certificate-arn-1 \
        CertificateArn=certificate-arn-2 \
        CertificateArn=certificate-arn-3

CloudFormation

Para agregar certificados a la lista de certificados

Defina un tipo de recurso AWS::ElasticLoadBalancingV2::ListenerCertificate.

Resources: 
  myCertificateList:
    Type: 'AWS::ElasticLoadBalancingV2::ListenerCertificate'
    Properties:
      ListenerArn: !Ref myTLSListener
      Certificates:
        - CertificateArn: "certificate-arn-1"
        - CertificateArn: "certificate-arn-2"
        - CertificateArn: "certificate-arn-3"

Quitar certificados de la lista de certificados

Puede quitar certificados de la lista de certificados para su oyente HTTPS utilizando el siguiente procedimiento. Tras eliminar un certificado, el oyente ya no puede crear conexiones con ese certificado. Para garantizar que los clientes no se vean afectados, añada un certificado nuevo a la lista y confirme que las conexiones funcionan antes de eliminar un certificado de la lista.

Para quitar el certificado predeterminado de un agente de escucha TLS, consulte Reemplazar el certificado predeterminado.

Console

Para eliminar los certificados de la lista de certificados

1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

2. En el panel de navegación, seleccione Load Balancers.

3. Seleccione el equilibrador de carga.

4. En la pestaña Listeners and rules, seleccione el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

5. En la pestaña Certificados, seleccione la casillas de los certificados y elija Eliminar.

6. Cuando se le solicite confirmación, ingrese confirm y elija Eliminar.

AWS CLI

Para eliminar un certificado de la lista de certificados

Utilice el comando remove-listener-certificates.

aws elbv2 remove-listener-certificates \
    --listener-arn listener-arn \
    --certificates CertificateArn=certificate-arn

Actualizar la política de seguridad

Cuando crea un oyente HTTPS, puede seleccionar la política de seguridad que mejor se ajuste a sus necesidades. Cuando se agrega una nueva política de seguridad, se puede actualizar el oyente HTTPS para que la utilice. Los equilibradores de carga de aplicaciones no admiten políticas de seguridad personalizadas. Para obtener más información, consulte Políticas de seguridad para el Equilibrador de carga de aplicación.

La actualización de la política de seguridad puede provocar interrupciones si el balanceador de cargas gestiona un gran volumen de tráfico. Para reducir la posibilidad de que se produzcan interrupciones cuando el balanceador de cargas gestione un gran volumen de tráfico, cree un balanceador de carga adicional que ayude a gestionar el tráfico o solicite una reserva de LCU.

Uso de políticas de FIPS en su Application Load Balancer

Todos los oyentes seguros conectados a un Equilibrador de carga de aplicación deben usar políticas de seguridad FIPS o políticas de seguridad que no sean FIPS; recuerde que no se pueden mezclar. Si un Equilibrador de carga de aplicación existente tiene dos o más oyentes que utilizan políticas que no son FIPS y desea que los oyentes usen políticas de seguridad FIPS en su lugar, elimine todos los oyentes hasta que solo quede uno. Cambie la política de seguridad del oyente a FIPS y, a continuación, cree más oyentes mediante las políticas de seguridad de FIPS. Como alternativa, puede crear un nuevo Equilibrador de carga de aplicación con nuevos oyentes utilizando únicamente las políticas de seguridad FIPS.

Console

Para actualizar la política de seguridad

1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

2. En el panel de navegación, seleccione Load Balancers.

3. Seleccione el equilibrador de carga.

4. En la pestaña Oyentes y reglas, elija el texto de la columna Protocolo:Puerto para abrir la página de detalles del oyente.

5. En la pestaña Seguridad, seleccione Editar la configuración del oyente seguro.

6. En la sección Configuración segura del oyente, en Política de seguridad, elija una nueva política de seguridad.

7. Seleccione Save changes (Guardar cambios).

AWS CLI

Para actualizar la política de seguridad

Utilice el comando modify-oyente.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-Res-2021-06

CloudFormation

Para actualizar la política de seguridad

Actualice el AWS::ElasticLoadBalancingV2::Listenerrecurso con la nueva política de seguridad.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn

Modificación del encabezado HTTP

La modificación del encabezado HTTP te permite cambiar el nombre de encabezados específicos generados por el balanceador de cargas, insertar encabezados de respuesta específicos y deshabilitar el encabezado de respuesta del servidor. Los balanceadores de carga de aplicaciones admiten la modificación de encabezados tanto para los encabezados de solicitud como para los de respuesta.

Para obtener más información, consulte Habilite la modificación del encabezado HTTP para su Application Load Balancer.