Avant de commencer HTTPen-têtes Configuration mutuelle TLS Journaux de connexion.

Authentification mutuelle avec TLS Application Load Balancer

TLSL'authentification mutuelle est une variante de la sécurité de la couche de transport (TLS). Traditional TLS établit des communications sécurisées entre un serveur et un client, le serveur devant fournir son identité à ses clients. Avec le mode mutuelTLS, un équilibreur de charge négocie l'authentification mutuelle entre le client et le serveur lors de la négociation. TLS Lorsque vous utilisez Mutual TLS avec Application Load Balancer, vous simplifiez la gestion de l'authentification et réduisez la charge de vos applications.

En utilisant la méthode mutuelle TLS avec Application Load Balancer, votre équilibreur de charge peut gérer l'authentification des clients afin de garantir que seuls les clients de confiance communiquent avec vos applications principales. Lorsque vous utilisez cette fonctionnalité, Application Load Balancer authentifie les clients à l'aide de certificats émis par une autorité de certification (CA) tierce ou en utilisant le AWS Private Certificate Authority (PCA), éventuellement, lors de contrôles de révocation. Application Load Balancer transmet les informations du certificat client au backend, que vos applications peuvent utiliser à des fins d'autorisation. En utilisant la méthode mutuelle TLS dans Application Load Balancer, vous pouvez obtenir une authentification intégrée, évolutive et gérée pour les entités basées sur des certificats, qui utilise des bibliothèques établies.

Mutual TLS for Application Load Balancers propose les deux options suivantes pour valider vos certificats clients X.509v3 :

Remarque : Les certificats client X.509v1 ne sont pas pris en charge.

Transfert mutuel TLS : lorsque vous utilisez le mode transfert mutuel, Application Load Balancer envoie l'ensemble de la chaîne de certificats client à la cible à l'TLSaide d'en-têtes. HTTP Ensuite, en utilisant la chaîne de certificats client, vous pouvez implémenter l'authentification de l'équilibreur de charge et la logique d'autorisation cible correspondantes dans votre application.
TLSVérification mutuelle : lorsque vous utilisez le mode de TLS vérification mutuelle, Application Load Balancer effectue une authentification par certificat client X.509 pour les clients lorsqu'un équilibreur de charge négocie des connexions. TLS

Pour commencer à utiliser Mutual TLS dans Application Load Balancer à l'aide du relais, il vous suffit de configurer l'écouteur pour qu'il accepte tous les certificats des clients. Pour utiliser la méthode mutuelle TLS avec vérification, vous devez effectuer les opérations suivantes :

Créez une nouvelle ressource Trust Store.
Téléchargez votre bundle d'autorités de certification (CA) et, éventuellement, vos listes de révocation.
Attachez le trust store à l'écouteur configuré pour vérifier les certificats clients.

Pour connaître step-by-step les procédures de configuration du mode de TLS vérification mutuelle avec votre Application Load Balancer, consultez. Configuration mutuelle TLS sur un Application Load Balancer

Avant de commencer la configuration mutuelle TLS sur votre Application Load Balancer

Avant de commencer à configurer la mutuelle TLS sur votre Application Load Balancer, tenez compte des points suivants :

Quotas

Les équilibreurs de charge des applications incluent certaines limites liées au nombre de magasins de confiance, de certificats CA et de listes de révocation de certificats utilisés dans votre AWS compte.

Pour plus d'informations, consultez la section Quotas pour vos équilibreurs de charge d'application.

Exigences relatives aux certificats

Les équilibreurs de charge d'application prennent en charge les éléments suivants pour les certificats utilisés avec TLS l'authentification mutuelle :

Certificat pris en charge : X.509v3
Clés publiques prises en charge : RSA 2K — 8K ou ECDSA secp256r1, secp384r1, secp521r1
Algorithmes de signature pris en charge : 384SHA256, 512 avecRSA/SHA256, 384, 512 avec un hachage EC/ SHA256 ,384 512 avec - avec RSASSA PSS MGF1

Packs de certificats CA

Les règles suivantes s'appliquent aux ensembles d'autorités de certification (CA) :

Les équilibreurs de charge d'application téléchargent chaque ensemble de certificats d'autorité de certification (CA) sous forme de lot. Les équilibreurs de charge d'application ne prennent pas en charge le téléchargement de certificats individuels. Si vous devez ajouter de nouveaux certificats, vous devez télécharger le fichier du bundle de certificats.
Pour remplacer un ensemble de certificats CA, utilisez le ModifyTrustStoreAPI.

Commande de certificats pour transmission

Lorsque vous utilisez le transfert mutuelTLS, l'Application Load Balancer insère des en-têtes pour présenter la chaîne de certificats du client aux cibles du backend. L'ordre de présentation commence par les certificats feuilles et se termine par le certificat racine.

Reprise de session

La reprise de session n'est pas prise en charge lors de l'utilisation des modes TLS de transmission mutuelle ou de vérification avec un Application Load Balancer.

HTTPen-têtes

Les équilibreurs de charge d'application utilisent X-Amzn-Mtls des en-têtes pour envoyer des informations de certificat lorsqu'ils négocient des connexions clients à l'aide de la méthode mutuelle. TLS Pour plus d'informations et des exemples d'en-têtes, consultezHTTPen-têtes et mutuelles TLS.

Fichiers de certificats CA

Les fichiers de certificats CA doivent satisfaire aux exigences suivantes :

Le fichier de certificat doit utiliser le format PEM (Privacy Enhanced Mail).
Le contenu du certificat doit être inclus dans les -----END CERTIFICATE----- limites -----BEGIN CERTIFICATE----- et.
Les commentaires doivent être précédés d'un # caractère et ne doivent contenir aucun - caractère.
Il ne peut y avoir aucune ligne vide.

Exemple de certificat non accepté (non valide) :


# comments

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 01
    Signature Algorithm: ecdsa-with-SHA384
        Issuer: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Validity
            Not Before: Jan 11 23:57:57 2024 GMT
            Not After : Jan 10 00:57:57 2029 GMT
        Subject: C=US, O=EXAMPLE, OU=EXAMPLE, CN=EXAMPLE
        Subject Public Key Info:
            Public Key Algorithm: id-ecPublicKey
                Public-Key: (384 bit)
                pub: 
                    00:01:02:03:04:05:06:07:08
                ASN1 OID: secp384r1
                NIST CURVE: P-384
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment, Certificate Sign, CRL Sign
            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Subject Key Identifier: 
                00:01:02:03:04:05:06:07:08
            X509v3 Subject Alternative Name: 
                URI:EXAMPLE.COM
    Signature Algorithm: ecdsa-with-SHA384
         00:01:02:03:04:05:06:07:08
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Exemples de certificats acceptés (valides) :

Certificat unique (PEMencodé) :


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

Certificats multiples (PEMencodés) :


# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
# comments
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64–encoded certificate
-----END CERTIFICATE-----

HTTPen-têtes et mutuelles TLS

Cette section décrit HTTP les en-têtes utilisés par les équilibreurs de charge d'application pour envoyer des informations de certificat lors de la négociation de connexions avec des clients via le protocole mutuel. TLS X-Amzn-MtlsLes en-têtes spécifiques utilisés par l'Application Load Balancer dépendent du mode TLS mutuel que vous avez spécifié : mode passthrough ou mode verify.

Pour plus d'informations sur les autres HTTP en-têtes pris en charge par les équilibreurs de charge d'application, consultez. HTTPen-têtes et équilibreurs de charge d'application

HTTPen-tête pour le mode passthrough

Pour les équilibreurs de charge mutuels TLS en mode relais, les équilibreurs de charge d'application utilisent l'en-tête suivant.

Cet en-tête contient le PEM format URL codé de l'ensemble de la chaîne de certificats client présentée dans la connexion, avec +=/ des caractères sécurisés.