替换默认证书将证书添加到证书列表从证书列表中删除证书更新安全策略 HTTP 标头修改

为您的 Application Load Balancer 更新 HTTPS 侦听器

创建 HTTPS 侦听器后，您可以替换默认证书、更新证书列表或替换安全策略。

任务

替换默认证书
将证书添加到证书列表
从证书列表中删除证书
更新安全策略
HTTP 标头修改

替换默认证书

您可以使用以下过程替换侦听器的默认证书。有关更多信息，请参阅默认证书。

Console

替换默认证书

打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。
在导航窗格中，选择负载均衡器。
选择负载均衡器。
在侦听器和规则选项卡上，选择协议:端口列中的文本以打开侦听器的详细信息页面。
在证书选项卡上，选择更改默认值。
在 ACM 和 IAM 证书表中，选择新的默认证书。
（可选）默认情况下，我们选择 “将以前的默认证书添加到侦听器证书列表”。除非您目前没有 SNI 的侦听器证书并且依赖于 TLS 会话恢复，否则我们建议您保持选中此选项。
选择另存为默认值。

AWS CLI

替换默认证书

使用 modify-listener 命令。


aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --certificates CertificateArn=new-default-certificate-arn

CloudFormation

替换默认证书

更新 AWS::ElasticLoadBalancingV2::Listener.


Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: new-default-certificate-arn

将证书添加到证书列表

您可使用以下过程将证书添加到侦听器的证书列表。如果您使用创建了侦听器 AWS Management Console，则我们会为您将默认证书添加到证书列表中。否则，证书列表为空。将默认证书添加到证书列表可确保即使该证书被替换为默认证书，也能将其与 SNI 协议一起使用。有关更多信息，请参阅应用程序负载均衡器的 SSL 证书。

Console

将证书添加到证书列表中

打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。
在导航窗格中，选择负载均衡器。
选择负载均衡器。
在侦听器和规则选项卡上，选择协议:端口列中的文本以打开侦听器的详细信息页面。
选择 Certificates (证书) 选项卡。
要将默认证书添加到列表中，请选择将默认证书添加到列表。
要将非默认证书添加到列表中，请执行以下操作：
1. 选择添加证书。
2. 要添加已由 ACM 或 IAM 管理的证书，请选中证书对应的复选框并选择在下面以待注册的形式添加。
3. 要添加不由 ACM 或 IAM 管理的证书，请选择导入证书，填写表格，然后选择导入。
4. 选择添加待处理证书。

AWS CLI

将证书添加到证书列表中

使用 add-listener-certificates 命令。


aws elbv2 add-listener-certificates \
    --listener-arn listener-arn \
    --certificates \
        CertificateArn=certificate-arn-1 \
        CertificateArn=certificate-arn-2 \
        CertificateArn=certificate-arn-3

CloudFormation

将证书添加到证书列表中

定义类型为的资源AWS::ElasticLoadBalancingV2::ListenerCertificate。


Resources: 
  myCertificateList:
    Type: 'AWS::ElasticLoadBalancingV2::ListenerCertificate'
    Properties:
      ListenerArn: !Ref myTLSListener
      Certificates:
        - CertificateArn: "certificate-arn-1"
        - CertificateArn: "certificate-arn-2"
        - CertificateArn: "certificate-arn-3"

从证书列表中删除证书

您可以使用以下过程从 HTTPS 侦听器的证书列表中删除证书。删除证书后，监听器无法再使用该证书创建连接。为确保客户端不受影响，请在从列表中删除证书之前，向列表中添加新证书并确认连接正常。

要删除 TLS 侦听器的默认证书，请参阅替换默认证书。

更新安全策略

在创建 HTTPS 侦听器时，您可以选择满足您的需求的安全策略。添加新的安全策略后，您可以将 HTTPS 侦听器更新为使用此新安全策略。Application Load Balancer 不支持自定义安全策略。有关更多信息，请参阅应用程序负载均衡器的安全策略。

如果负载均衡器处理大量流量，则更新安全策略可能会导致中断。为了减少负载均衡器处理大量流量时发生中断的可能性，请创建一个额外的负载均衡器来帮助处理流量或申请 LCU 预留。

在 Application Load Balancer 上使用 FIPS 策略

附加到应用程序负载均衡器的所有安全侦听器都必须使用 FIPS 安全策略或非 FIPS 安全策略；它们不能混合使用。如果现有应用程序负载均衡器有两个或更多使用非 FIPS 策略的侦听器，并且您希望侦听器改用 FIPS 安全策略，请删除所有侦听器，直到只有一个为止。将侦听器的安全策略更改为 FIPS，然后使用 FIPS 安全策略创建其他侦听器。或者，您可以仅使用 FIPS 安全策略创建具有新侦听器的新应用程序负载均衡器。

HTTP 标头修改

HTTP 标头修改允许您重命名特定负载均衡器生成的标头、插入特定的响应标头以及禁用服务器响应标头。应用程序负载均衡器支持修改请求和响应标头的标头。

有关更多信息，请参阅为您的应用程序负载均衡器启用 HTTP 标头修改。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

创建 HTTPS 侦听器

侦听器规则