Avant de commencer En-têtes HTTP Configuration du protocole TLS mutuel Journaux de connexion.

Authentification mutuelle avec TLS dans Application Load Balancer

L'authentification TLS mutuelle est une variante de la sécurité de la couche de transport (TLS). Le protocole TLS traditionnel établit des communications sécurisées entre un serveur et un client, le serveur devant fournir son identité à ses clients. Avec le protocole TLS mutuel, un équilibreur de charge négocie l'authentification mutuelle entre le client et le serveur tout en négociant le protocole TLS. Lorsque vous utilisez le protocole TLS mutuel avec Application Load Balancer, vous simplifiez la gestion de l'authentification et réduisez la charge de vos applications.

En utilisant le protocole TLS mutuel avec Application Load Balancer, votre équilibreur de charge peut gérer l'authentification des clients afin de garantir que seuls les clients de confiance communiquent avec vos applications principales. Lorsque vous utilisez cette fonctionnalité, Application Load Balancer authentifie les clients à l'aide de certificats délivrés par une autorité de certification (CA) tierce ou en utilisant le AWS Private Certificate Authority (PCA), éventuellement, avec des contrôles de révocation. Application Load Balancer transmet les informations du certificat client au backend, que vos applications peuvent utiliser à des fins d'autorisation. En utilisant le protocole TLS mutuel dans Application Load Balancer, vous pouvez obtenir une authentification intégrée, évolutive et gérée pour les entités basées sur des certificats, qui utilise des bibliothèques établies.

Le protocole TLS mutuel pour les équilibreurs de charge d'application propose les deux options suivantes pour valider vos certificats clients X.509v3 :

Remarque : Les certificats client X.509v1 ne sont pas pris en charge.

Transfert TLS mutuel : lorsque vous utilisez le mode relais TLS mutuel, Application Load Balancer envoie l'ensemble de la chaîne de certificats client à la cible à l'aide d'en-têtes HTTP. Ensuite, en utilisant la chaîne de certificats client, vous pouvez implémenter la logique d'authentification et d'autorisation correspondante dans votre application.
Vérification TLS mutuelle : lorsque vous utilisez le mode de vérification TLS mutuelle, Application Load Balancer effectue l'authentification des certificats clients X.509 pour les clients lorsqu'un équilibreur de charge négocie des connexions TLS.

Pour commencer à utiliser le protocole TLS mutuel dans Application Load Balancer à l'aide du relais, il vous suffit de configurer l'écouteur pour qu'il accepte les certificats des clients. Pour utiliser le protocole TLS mutuel avec vérification, vous devez effectuer les opérations suivantes :

Créez une nouvelle ressource Trust Store.
Téléchargez votre bundle d'autorités de certification (CA) et, éventuellement, vos listes de révocation.
Attachez le trust store à l'écouteur configuré pour vérifier les certificats clients.

Pour les step-by-step procédures permettant de configurer le mode de vérification TLS mutuelle avec votre Application Load Balancer, consultez. Configuration du protocole TLS mutuel sur un Application Load Balancer

Avant de commencer à configurer le protocole TLS mutuel sur votre Application Load Balancer

Avant de commencer à configurer le protocole TLS mutuel sur votre Application Load Balancer, tenez compte des points suivants :

Quotas

Les équilibreurs de charge des applications incluent certaines limites liées au nombre de magasins de confiance, de certificats CA et de listes de révocation de certificats utilisés dans votre AWS compte.

Pour plus d'informations, consultez la section Quotas pour vos équilibreurs de charge d'application.

Exigences relatives aux certificats

Les équilibreurs de charge d'application prennent en charge les éléments suivants pour les certificats utilisés avec l'authentification TLS mutuelle :

Certificat pris en charge : X.509v3
Clés publiques prises en charge : RSA 2K — 8K ou ECDSA secp256r1, secp384r1, secp521r1
Algorithmes de signature pris en charge : SHA256, 384, 512 avec RSA/SHA256, 384, 512 avec hachage EC/SHA256, 384 512 avec RSASSA-PSS avec MGF1

Packs de certificats CA

Les règles suivantes s'appliquent aux ensembles d'autorités de certification (CA) :

Les équilibreurs de charge d'application téléchargent chaque ensemble de certificats d'autorité de certification (CA) sous forme de lot. Les équilibreurs de charge d'application ne prennent pas en charge le téléchargement de certificats individuels. Si vous devez ajouter de nouveaux certificats, vous devez télécharger le fichier du bundle de certificats.
Pour remplacer un ensemble de certificats CA, utilisez l'ModifyTrustStoreAPI.

Commande de certificats pour transmission

Lorsque vous utilisez le transfert TLS mutuel, l'Application Load Balancer insère des en-têtes pour présenter la chaîne de certificats du client aux cibles principales. L'ordre de présentation commence par les certificats feuilles et se termine par le certificat racine.

Reprise de session

La reprise de session n'est pas prise en charge lors de l'utilisation des modes de transfert TLS mutuel ou de vérification avec un Application Load Balancer.

En-têtes HTTP

Les équilibreurs de charge d'application utilisent X-Amzn-Mtls des en-têtes pour envoyer des informations de certificat lorsqu'ils négocient des connexions client à l'aide du protocole TLS mutuel. Pour plus d'informations et des exemples d'en-têtes, consultezEn-têtes HTTP et TLS mutuel.

Fichiers de certificats CA

Les fichiers de certificats CA doivent satisfaire aux exigences suivantes :

Le fichier de certificat doit utiliser le format PEM (Privacy Enhanced Mail).
Le contenu du certificat doit être inclus dans les -----END CERTIFICATE----- limites -----BEGIN CERTIFICATE----- et.
Les commentaires doivent être précédés d'un # caractère et ne doivent contenir aucun - caractère.
Il ne peut y avoir aucune ligne vide.

Exemple de certificat non accepté (non valide) :


# comments

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 01
    Signature Algorithm: ecdsa-with-SHA384
        Issuer: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Validity
            Not Before: Jan 11 23:57:57 2024 GMT
            Not After : Jan 10 00:57:57 2029 GMT
        Subject: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Subject Public Key Info:
            Public Key Algorithm: id-ecPublicKey
                Public-Key: (384 bit)
                pub: 
                    00:01:02:03:04:05:06:07:08
                ASN1 OID: secp384r1
                NIST CURVE: P-384
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment, Certificate Sign, CRL Sign
            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Subject Key Identifier: 
                00:01:02:03:04:05:06:07:08
            X509v3 Subject Alternative Name: 
                URI:EXAMPLE.COM
    Signature Algorithm: ecdsa-with-SHA384
         00:01:02:03:04:05:06:07:08
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Exemples de certificats acceptés (valides) :

Certificat unique (codé PEM) :


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Certificats multiples (codés PEM) :


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

En-têtes HTTP et TLS mutuel

Cette section décrit les en-têtes HTTP utilisés par les équilibreurs de charge d'application pour envoyer des informations de certificat lors de la négociation de connexions avec des clients à l'aide du protocole TLS mutuel. X-Amzn-MtlsLes en-têtes spécifiques utilisés par l'Application Load Balancer dépendent du mode TLS mutuel que vous avez spécifié : mode passthrough ou mode verify.

Pour plus d'informations sur les autres en-têtes HTTP pris en charge par les équilibreurs de charge d'application, consultez. En-têtes HTTP et Application Load Balancers

En-tête HTTP pour le mode passthrough

Pour le protocole TLS mutuel en mode relais, les équilibreurs de charge d'application utilisent l'en-tête suivant.

Cet en-tête contient le format PEM codé en URL de l'ensemble de la chaîne de certificats client présentée dans la connexion, avec des caractères sécurisés+=/.