使用最低的 TLS 协议版本保护你的 Lightsail 发行版

Amazon Lightsail 使用 SSL/TLS 证书来验证您可以在 Lightsail 分发中使用的自定义（注册）域名。本指南提供有关您可以为 SSL/TLS 证书配置的查看器最低 TLS 协议版本（协议版本）的信息。有关 SSL/TLS 证书的更多信息，请参阅 Lightsail 中的 SSL/TLS 证书。查看器是一种向与您的 Lightsail 发行版关联的边缘站点发出 HTTP 请求的应用程序。有关发行版的更多信息，请参阅 Lightsail 中的内容分发网络分发。

当您为分配启用自定义域时，默认情况下会配置TLSv1.2_2021协议版本。您可以配置不同的协议版本，如本指南后面所述。Lightsail 发行版不支持自定义 TLS 协议版本。

受支持的协议

Lightsail 发行版可以使用以下 TLS 协议进行配置：

• （推荐）tlsv1.2_2021

• TLSv1.2_2019

• TLSv1.2_2018

• TLSv1.1_2016

先决条件

满足以下先决条件（如果尚未满足）：

• 创建 Lightsail 内容分发网络发行版

• 创建分配的 SSL/TLS 证书

• 验证分配的 SSL/TLS 证书

• 启用分配的自定义域

• 将您的域名指向发行版

确定您的发行版的最低 TLS 协议版本

完成以下步骤以确定您的 Lightsail 发行版的最低 TLS 协议版本

注意

在本指南中，您将使用 AWS CloudShell 来执行升级。 CloudShell 是一款基于浏览器的预先认证外壳，您可以直接从 Lightsail 控制台启动它。使用 CloudShell，您可以使用首选外壳运行 AWS CLI 命令，例如 Bash PowerShell、或 Z shell。您无需下载或安装命令行工具，即可完成此操作。有关如何设置和使用的更多信息 CloudShell，请参阅 Lightsai AWS CloudShell l 中的。

1. 打开终端AWS CloudShell、或命令提示符窗口。

2. 输入以下命令来确定您的 Lightsail 发行版的最低 TLS 协议版本。

   aws lightsail get-distributions --distribution-name DistributionName --region us-east-1 | grep "viewerMinimumTlsProtocolVersion"

   在命令中，DistributionName替换为要修改的发行版的名称。

   示例

   aws lightsail get-distributions --distribution-name Distribution-1 --region us-east-1 | grep "viewerMinimumTlsProtocolVersion"

   该命令将返回您的发行版的最低 TLS 协议版本的 ID。

   示例

   "viewerMinimumTlsProtocolVersion": "TLSv1.2_2021"

使用配置最低 TLS 协议版本 AWS CLI

完成以下过程，使用 AWS Command Line Interface (AWS CLI) 配置 TLS 协议版本。使用 update-distribution 命令完成此操作。有关更多信息，请参阅《命令参考》中的 update-distribution 属性。AWS CLI

1. 打开终端AWS CloudShell、或命令提示符窗口。

2. 输入以下命令来更改您的发行版的最低 TLS 协议版本。

   aws lightsail update-distribution --distribution-name DistributionName --viewer-minimum-tls-protocol-version ProtocolVersion

   在该命令中，将以下示例文本替换为自己的文本：

   • DistributionName使用您要更新的发行版的名称。

   • ProtocolVersion使用有效的 TLS 协议版本。例如，TLSv1.2_2021 或 TLSv1.2_2019。

   例如：

   aws lightsail update-distribution --distribution-name  MyDistribution --viewer-minimum-tls-protocol-version TLSv1.2_2021

   您的更改需要一些时间才能生效。