Configurazione di un listener HTTPS per Classic Load Balancer

Si definisce listener il processo che verifica la presenza di richieste di connessione. È configurato con un protocollo e una porta sia per connessioni front-end (dal client al load balancer) sia per connessioni back-end (dal load balancer all'istanza). Per informazioni sulle configurazioni di porte, protocolli e listener supportati da Elastic Load Balancing, consulta Listener per il Classic Load Balancer.

Se disponi di un load balancer con un listener che accetta richieste HTTP sulla porta 80, puoi aggiungere un listener che accetta le richieste HTTPS sulla porta 443. Se specifichi che il listener HTTPS invia le richieste alle istanze sulla porta 80, il load balancer termina le richieste SSL e la comunicazione dal load balancer alle istanze non è crittografata. Se il listener HTTPS invia le richieste alle istanze sulla porta 443, la comunicazione dal load balancer alle istanze è crittografata.

Se il load balancer utilizza una connessione crittografata per comunicare con le istanze, puoi opzionalmente abilitare l'autenticazione delle istanze. Questo garantisce che il load balancer comunica con un'istanza solo se la sua chiave pubblica corrisponde alla chiave specificata per il load balancer per questo scopo.

Per ulteriori informazioni sulla creazione di un nuovo listener HTTPS, consulta Creazione di un Classic Load Balancer con un listener HTTPS.

Prerequisiti

Per abilitare il supporto HTTPS per un listener HTTPS, occorre distribuire un certificato del server SSL sul load balancer. Il load balancer utilizza il certificato per terminare e quindi decrittografare le richieste prima di inviarle alle istanze. Se un certificato SSL non è disponibile, puoi crearne uno. Per ulteriori informazioni, consulta Certificati SSL/TLS per Classic Load Balancer.

Aggiunta di un listener HTTPS mediante la console

Puoi aggiungere un listener HTTPS a un load balancer esistente.

Per aggiungere un listener HTTPS al sistema di bilanciamento del carico utilizzando la console

1. Apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

2. Nel pannello di navigazione, sotto Bilanciamento del carico, scegli Sistemi di bilanciamento del carico.

3. Scegli il nome del sistema di bilanciamento del carico per aprirne la pagina dei dettagli.

4. Nella scheda Listener, scegli Gestisci ascoltatori.

5. Nella scheda Gestisci ascoltatori, all'interno della sezione Listener, scegli Aggiungi listener.

6. In Protocollo del listener, scegli HTTPS.

   Importante

   Per impostazione predefinita, il protocollo dell'istanza è HTTP. Se desideri configurare l'autenticazione dell'istanza di back-end, modifica il protocollo dell'istanza in HTTPS.

7. Per la politica di sicurezza, ti consigliamo di utilizzare la politica di sicurezza predefinita più recente. Se è necessario utilizzare una policy di sicurezza predefinita differente o creare una policy personalizzata, consulta la sezione relativa all'aggiornamento della configurazione di negoziazione SSL.

8. Per Certificato SSL predefinito, scegli Modifica, quindi esegui una delle operazioni seguenti:

   • Se hai creato o importato un certificato utilizzando AWS Certificate Manager, scegli Da ACM, seleziona il certificato dall'elenco, quindi scegli Salva modifiche.

     Nota

     Questa opzione è disponibile solo nelle regioni che supportano AWS Certificate Manager.

   • Se hai importato un certificato mediante IAM, scegli Da IAM, seleziona il certificato dall'elenco, quindi scegli Salva modifiche.

   • Se disponi di un certificato SSL da importare in ACM, seleziona Importa e Per ACM. In Chiave privata del certificato, copia e incolla il contenuto del file della chiave privata con codifica PEM. In Corpo certificato, copia e incolla il contenuto del file del certificato della chiave pubblica con codifica PEM. In Catena di certificati - facoltativo, copia e incolla il contenuto del file della catena di certificati con codifica PEM, a meno che non utilizzi un certificato auto-firmato e non sia importante che i browser accettino implicitamente il certificato.

   • Se disponi di un certificato SSL da importare, ma ACM non è supportato in questa regione, seleziona Importa e Per IAM. In Nome del certificato, digita il nome del certificato. In Chiave privata del certificato, copia e incolla il contenuto del file della chiave privata con codifica PEM. In Corpo certificato, copia e incolla il contenuto del file del certificato della chiave pubblica con codifica PEM. In Catena di certificati - facoltativo, copia e incolla il contenuto del file della catena di certificati con codifica PEM, a meno che non utilizzi un certificato auto-firmato e non sia importante che i browser accettino implicitamente il certificato.

   • Scegli Save changes (Salva modifiche).

9. Per Viscosità dei cookie, l'impostazione predefinita è Disabilitato. Per cambiarlo, scegli Modifica. Se scegli l'opzione Generato dal sistema di bilanciamento del carico, devi specificare un Periodo di scadenza. Se scegli l'opzione Generato dall'applicazione, devi specificare un Nome cookie. Dopo aver effettuato la selezione, scegli Salva modifiche.

10. (Facoltativo) Scegli Aggiungi listener per aggiungere ulteriori ascoltatori.

11. Scegli Salva modifiche per aggiungere gli ascoltatori appena configurati.

12. (Facoltativo) Per configurare l'autenticazione dell'istanza di back-end per un sistema di bilanciamento del carico esistente, è necessario utilizzare l'API AWS CLI o un'API, poiché questa attività non è supportata dalla console. Per ulteriori informazioni, consulta Configurazione dell'autenticazione dell'istanza di back-end.

Aggiungi un listener HTTPS utilizzando il AWS CLI

Puoi aggiungere un listener HTTPS a un load balancer esistente.

Per aggiungere un listener HTTPS al sistema di bilanciamento del carico utilizzando il AWS CLI

1. Ottenere l'Amazon Resource Name (ARN) del certificato SSL. Ad esempio:

   ACM

   arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

   IAM

   arn:aws:iam::123456789012:server-certificate/my-server-certificate

2. Utilizzate il seguente create-load-balancer-listenerscomando per aggiungere un listener al sistema di bilanciamento del carico che accetti le richieste HTTPS sulla porta 443 e invii le richieste alle istanze sulla porta 80 tramite HTTP:

   aws elb create-load-balancer-listeners --load-balancer-name my-load-balancer --listeners Protocol=HTTPS,LoadBalancerPort=443,InstanceProtocol=HTTP,InstancePort=80,SSLCertificateId=ARN

   Se si desidera configurare l'autenticazione dell'istanza di back-end, utilizzare il comando seguente per aggiungere un listener che accetta le richieste HTTPS sulla porta 443 e le invia alle istanze sulla porta 443 mediante HTTPS:

   aws elb create-load-balancer-listeners --load-balancer-name my-load-balancer --listeners Protocol=HTTPS,LoadBalancerPort=443,InstanceProtocol=HTTPS,InstancePort=443,SSLCertificateId=ARN

3. (Facoltativo) È possibile utilizzare il seguente describe-load-balancerscomando per visualizzare i dettagli aggiornati del sistema di bilanciamento del carico:

   aws elb describe-load-balancers --load-balancer-name my-load-balancer

   Di seguito è riportata una risposta di esempio:

   {
       "LoadBalancerDescriptions": [
           {
               ...
               "ListenerDescriptions": [
                   {
                       "Listener": {
                           "InstancePort": 80, 
                           "SSLCertificateId": "ARN", 
                           "LoadBalancerPort": 443, 
                           "Protocol": "HTTPS", 
                           "InstanceProtocol": "HTTP"
                       }, 
                       "PolicyNames": [
                           "ELBSecurityPolicy-2016-08"
                       ]
                   }, 
                   {
                       "Listener": {
                           "InstancePort": 80, 
                           "LoadBalancerPort": 80, 
                           "Protocol": "HTTP", 
                           "InstanceProtocol": "HTTP"
                       }, 
                       "PolicyNames": []
                   }
               ], 
               ...
           }
       ]
   }

4. (Facoltativo) Il listener HTTPS è stato creato utilizzando la policy di sicurezza di default. Se desideri specificare una politica di sicurezza predefinita diversa o una politica di sicurezza personalizzata, usa i comandi create-load-balancer-policye set-load-balancer-policies-of-listener. Per ulteriori informazioni, consulta Aggiorna la configurazione di negoziazione SSL utilizzando il AWS CLI.

5. (Facoltativo) Per configurare l'autenticazione dell'istanza di back-end, utilizzate il comando -. set-load-balancer-policies for-backend-server Per ulteriori informazioni, consulta Configurazione dell'autenticazione dell'istanza di back-end.