Configurazione del sistema di bilanciamento del carico dell'ambiente Elastic Beanstalk per terminare HTTPS

Per aggiornare AWS Elastic Beanstalk l'ambiente in modo da utilizzare HTTPS, è necessario configurare un listener HTTPS per il sistema di bilanciamento del carico dell'ambiente. Due tipi di sistema di bilanciamento del carico supportano un listener HTTPS: Classic Load Balancer e Application Load Balancer.

Puoi utilizzare la console Elastic Beanstalk o un file di configurazione per impostare un listener protetto a cui assegnare il certificato.

Nota

Gli ambienti di singola istanza non dispongono di un sistema di bilanciamento del carico e non supportano la chiusura di HTTPS nel sistema di bilanciamento del carico.

Configurazione di un listener protetto utilizzando la console Elastic Beanstalk

Per assegnare un certificato al sistema di bilanciamento del carico del tuo ambiente

1. Apri la console Elastic Beanstalk e, nell'elenco Regioni, seleziona la tua. Regione AWS

2. Nel pannello di navigazione selezionare Environments (Ambienti), quindi selezionare il nome dell'ambiente dall'elenco.

   Nota

   Se si dispone di molti ambienti, utilizzare la barra di ricerca per filtrare l'elenco degli ambienti.

3. Nel riquadro di navigazione, seleziona Configuration (Configurazione).

4. Nella categoria di configurazione Load balancer (Sistema di bilanciamento del carico), scegliere Edit (Modifica).

   Nota

   Se la categoria di configurazione di Load balancer (Sistema di bilanciamento del carico) non presenta un pulsante Edit (Modifica), il tuo ambiente non dispone di un sistema di bilanciamento del carico.

5. Nella pagina Modify load balancer (Modifica sistema di bilanciamento del carico), la procedura varia a seconda del tipo di sistema di bilanciamento del carico associato al tuo ambiente.

   • Classic Load Balancer

     1. Scegli Add listener (Aggiungi listener).

     2. Nella finestra di dialogo Classic Load Balancer listener (Listener del sistema di bilanciamento del carico) configura le impostazioni seguenti:

        • In Listener port (Porta listener), indica la porta per il traffico in entrata, generalmente 443.

        • In Listener protocol (Protocollo listener), scegli HTTPS.

        • In Instance port (Porta istanza), digita 80.

        • In Instance protocol (Protocollo istanza), scegli HTTP.

        • In SSL certificate (Certificato SSL), scegli il tuo certificato.

     3. Scegli Aggiungi.

   • Application Load Balancer

     1. Scegli Add listener (Aggiungi listener).

     2. Nella finestra di dialogo Application Load Balancer listener (Listener del sistema di bilanciamento del carico applicazioni) configura le impostazioni seguenti:

        • In Port (Porta), indica la porta per il traffico in entrata, generalmente 443.

        • In Protocol (Protocollo), scegli HTTPS.

        • In SSL certificate (Certificato SSL), scegli il tuo certificato.

     3. Scegli Aggiungi.

     Nota

     Se il menu a discesa di Classic Load Balancer o Application Load Balancer non mostra alcun certificato, devi creare o caricare un certificato per il nome di dominio personalizzato in AWS Certificate Manager (ACM) (scelta consigliata). In alternativa, carica un certificato in IAM con l' AWS CLI.

   • Network Load Balancer

     1. Scegli Add listener (Aggiungi listener).

     2. Nella finestra di dialogo Network Load Balancer listener (Listener del Sistema di bilanciamento del carico di rete) specifica la porta di traffico in entrata, generalmente la 443.

     3. Scegli Aggiungi.

6. Per salvare le modifiche scegli Apply (Applica) nella parte inferiore della pagina.

Configurazione di un listener protetto utilizzando un file di configurazione

Puoi configurare un listener sicuro sul tuo sistema di bilanciamento del carico utilizzando uno dei seguenti file di configurazione.

Esempio .ebextensions/securelistener-clb.config

Utilizza questo esempio quando l'ambiente dispone di un sistema Classic Load Balancer. L'esempio usa le opzioni dello spazio dei nomi aws:elb:listener per configurare un listener HTTPS sulla porta 443 con il certificato specificato e inoltrare il traffico decrittografato alle istanze nel tuo ambiente sulla porta 80.

option_settings:
  aws:elb:listener:443:
    SSLCertificateId: arn:aws:acm:us-east-2:1234567890123:certificate/####################################
    ListenerProtocol: HTTPS
    InstancePort: 80

Sostituisci il testo evidenziato con l'ARN del tuo certificato. Il certificato può essere uno che hai creato o caricato in AWS Certificate Manager (ACM) (preferito) o uno che hai caricato su IAM con. AWS CLI

Per ulteriori informazioni sulle opzioni di configurazione di Classic Load Balancer, consulta Spazi dei nomi di configurazione di Classic Load Balancer.

Esempio .ebextensions/securelistener-alb.config

Utilizza questo esempio quando l'ambiente dispone di un sistema Application Load Balancer. L'esempio utilizza le opzioni dello spazio dei nomi aws:elbv2:listener per configurare un listener HTTPS sulla porta 443 con il certificato specificato. Il listener instrada il traffico verso il processo predefinito.

option_settings:
  aws:elbv2:listener:443:
    ListenerEnabled: 'true'
    Protocol: HTTPS
    SSLCertificateArns: arn:aws:acm:us-east-2:1234567890123:certificate/####################################

Esempio .ebextensions/securelistener-nlb.config

Utilizza questo esempio quando l'ambiente dispone di un sistema Network Load Balancer. L'esempio utilizza le opzioni nel namespace aws:elbv2:listener per configurare un listener sulla porta 443. Il listener instrada il traffico verso il processo predefinito.

option_settings:
  aws:elbv2:listener:443:
    ListenerEnabled: 'true'

Configurazione di un gruppo di sicurezza

Se configuri il sistema di bilanciamento del carico per inoltrare il traffico verso una porta dell'istanza diversa dalla porta 80, devi aggiungere una regola al gruppo di sicurezza che consente il traffico in entrata sulla porta dell'istanza dal sistema di bilanciamento del carico. Se crei il tuo ambiente in un VPC personalizzato, questa regola viene aggiunta automaticamente da Elastic Beanstalk.

Puoi aggiungere la regola inserendo una chiave Resources a un file di configurazione nella directory .ebextensions per la tua applicazione.

Il seguente file di configurazione di esempio aggiunge una regola in ingresso per il gruppo di sicurezza AWSEBSecurityGroup. Ciò consente il traffico sulla porta 1000 dal gruppo di sicurezza del sistema di bilanciamento del carico.

Esempio .ebextensions/sg-ingressfromlb.config

Resources:
  sslSecurityGroupIngress:
    Type: AWS::EC2::SecurityGroupIngress
    Properties:
      GroupId: {"Fn::GetAtt" : ["AWSEBSecurityGroup", "GroupId"]}
      IpProtocol: tcp
      ToPort: 1000
      FromPort: 1000
      SourceSecurityGroupId: {"Fn::GetAtt" : ["AWSEBLoadBalancerSecurityGroup", "GroupId"]}