Antes de começar Cabeçalhos HTTP Configurando o TLS mútuo Logs de conexão

Autenticação mútua com TLS no Application Load Balancer

A autenticação TLS mútua é uma variação da segurança da camada de transporte (TLS). O TLS tradicional estabelece comunicações seguras entre um servidor e um cliente, onde o servidor precisa fornecer sua identidade aos clientes. Com o TLS mútuo, um balanceador de carga negocia a autenticação mútua entre o cliente e o servidor enquanto negocia o TLS. Ao usar o TLS mútuo com o Application Load Balancer, você simplifica o gerenciamento da autenticação e reduz a carga em seus aplicativos.

Ao usar o TLS mútuo com o Application Load Balancer, seu balanceador de carga pode gerenciar a autenticação do cliente para ajudar a garantir que somente clientes confiáveis se comuniquem com seus aplicativos de back-end. Quando você usa esse recurso, o Application Load Balancer autentica clientes com certificados de uma autoridade de certificação (CA) terceirizada ou usando o AWS Private Certificate Authority (PCA), opcionalmente, com verificações de revogação. O Application Load Balancer passa as informações do certificado do cliente para o back-end, que seus aplicativos podem usar para autorização. Ao usar o TLS mútuo no Application Load Balancer, você pode obter autenticação integrada, escalável e gerenciada para entidades baseadas em certificados, que usam bibliotecas estabelecidas.

O TLS mútuo para balanceadores de carga de aplicativos fornece as duas opções a seguir para validar seus certificados de cliente X.509v3:

Nota: Não há suporte para certificados de cliente X.509v1.

Passagem mútua de TLS: quando você usa o modo de passagem mútua de TLS, o Application Load Balancer envia toda a cadeia de certificados do cliente para o destino usando cabeçalhos HTTP. Em seguida, usando a cadeia de certificados do cliente, você pode implementar a lógica correspondente de autenticação e autorização em seu aplicativo.
Verificação mútua de TLS: quando você usa o modo de verificação mútua de TLS, o Application Load Balancer executa a autenticação de certificado de cliente X.509 para clientes quando um balanceador de carga negocia conexões TLS.

Para começar a usar o TLS mútuo no Application Load Balancer usando o passthrough, você só precisa configurar o ouvinte para aceitar quaisquer certificados dos clientes. Para usar o TLS mútuo com verificação, você deve fazer o seguinte:

Crie um novo recurso de armazenamento confiável.
Faça upload do seu pacote de autoridade de certificação (CA) e, opcionalmente, das listas de revogação.
Anexe o armazenamento confiável ao ouvinte que está configurado para verificar os certificados do cliente.

Para obter step-by-step os procedimentos para configurar o modo de verificação mútua de TLS com seu Application Load Balancer, consulte. Configurando o TLS mútuo em um Application Load Balancer

Antes de começar a configurar o TLS mútuo em seu Application Load Balancer

Antes de começar a configurar o TLS mútuo em seu Application Load Balancer, esteja ciente do seguinte:

Cotas

Os Application Load Balancers incluem certos limites relacionados à quantidade de armazenamentos confiáveis, certificados de CA e listas de revogação de certificados em uso em sua conta. AWS

Para obter mais informações, consulte Cotas para seus balanceadores de carga de aplicativos.

Requisitos para certificados

Os Application Load Balancers oferecem suporte ao seguinte para certificados usados com autenticação TLS mútua:

Certificado suportado: X.509v3
Chaves públicas suportadas: RSA 2K — 8K ou ECDSA secp256r1, secp384r1, secp521r1
Algoritmos de assinatura suportados: SHA256, 384, 512 com RSA/SHA256, 384, 512 com hash EC/SHA256.384.512 com RSASSA-PSS com MGF1

Pacotes de certificados CA

O seguinte se aplica aos pacotes de autoridade de certificação (CA):

Os Application Load Balancers carregam cada pacote de certificados de autoridade de certificação (CA) como um lote. Os Application Load Balancers não oferecem suporte ao upload de certificados individuais. Se precisar adicionar novos certificados, você deverá carregar o arquivo do pacote de certificados.
Para substituir um pacote de certificados CA, use a ModifyTrustStoreAPI.

Pedido de certificado para passagem

Quando você usa a passagem mútua de TLS, o Application Load Balancer insere cabeçalhos para apresentar a cadeia de certificados do cliente aos destinos de back-end. A ordem de apresentação começa com os certificados da folha e termina com o certificado raiz.

Reinício da sessão

A retomada da sessão não é suportada ao usar os modos mútuos de passagem ou verificação de TLS com um Application Load Balancer.

Cabeçalhos HTTP

Os Application Load Balancers usam X-Amzn-Mtls cabeçalhos para enviar informações do certificado quando negociam conexões de clientes usando TLS mútuo. Para obter mais informações e exemplos de cabeçalhos, consulteCabeçalhos HTTP e TLS mútuo.

Arquivos de certificado CA

Os arquivos de certificado CA devem atender aos seguintes requisitos:

O arquivo do certificado deve usar o formato PEM (Privacy Enhanced Mail).
O conteúdo do certificado deve estar dentro dos -----END CERTIFICATE----- limites -----BEGIN CERTIFICATE----- e.
Os comentários devem ser precedidos por um # caractere e não devem conter nenhum - caractere.
Não pode haver nenhuma linha em branco.

Exemplo de certificado que não é aceito (inválido):


# comments

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 01
    Signature Algorithm: ecdsa-with-SHA384
        Issuer: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Validity
            Not Before: Jan 11 23:57:57 2024 GMT
            Not After : Jan 10 00:57:57 2029 GMT
        Subject: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Subject Public Key Info:
            Public Key Algorithm: id-ecPublicKey
                Public-Key: (384 bit)
                pub: 
                    00:01:02:03:04:05:06:07:08
                ASN1 OID: secp384r1
                NIST CURVE: P-384
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment, Certificate Sign, CRL Sign
            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Subject Key Identifier: 
                00:01:02:03:04:05:06:07:08
            X509v3 Subject Alternative Name: 
                URI:EXAMPLE.COM
    Signature Algorithm: ecdsa-with-SHA384
         00:01:02:03:04:05:06:07:08
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Exemplos de certificados aceitos (válidos):

Certificado único (codificado por PEM):


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Vários certificados (codificados por PEM):


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Cabeçalhos HTTP e TLS mútuo

Esta seção descreve os cabeçalhos HTTP que os Application Load Balancers usam para enviar informações de certificado ao negociar conexões com clientes usando TLS mútuo. X-Amzn-MtlsOs cabeçalhos específicos que o Application Load Balancer usa dependem do modo TLS mútuo que você especificou: modo de passagem ou modo de verificação.

Para obter informações sobre outros cabeçalhos HTTP compatíveis com Application Load Balancers, consulte. Cabeçalhos HTTP e Application Load Balancers

Cabeçalho HTTP para o modo de passagem

Para TLS mútuo no modo de passagem, os Application Load Balancers usam o cabeçalho a seguir.

Esse cabeçalho contém o formato PEM codificado por URL de toda a cadeia de certificados do cliente apresentada na conexão, com +=/ caracteres seguros.