Création d'un Classic Load Balancer avec un Écouteur HTTPS

Ouvrez la console Amazon EC2 à l’adresse https://console.aws.amazon.com/ec2/.

Dans la barre de navigation, choisissez une Région pour votre équilibreur de charge. Veillez à sélectionner la même Région que celle que vous avez sélectionnée pour vos instances EC2.

Dans le panneau de navigation, sous Load Balancing (Équilibrage de charge), choisissez Load Balancers (Équilibreurs de charge).

Sélectionnez Create Load Balancer (Créer un équilibreur de charge).

Développez la section Classic Load Balancer, puis choisissez Create.

Configuration de base

1. Pour Load Balancer name, saisissez un nom pour l'équilibreur de charge.

   Le nom de votre Classic Load Balancer doit être unique dans l'ensemble de vos Classic Load Balancers pour la région, ne peut contenir que 32 caractères au maximum, ne peut comporter que des caractères alphanumériques et des traits d'union, et ne doit pas commencer ou se terminer par un trait d'union.

2. Pour Scheme, sélectionnez Internet-facing.

Mappage du réseau

1. Pour VPC, sélectionnez le même VPC que celui que vous avez sélectionné pour vos instances.

2. Pour Mappings, sélectionnez d'abord une Zone de disponibilité, puis choisissez un sous-réseau public parmi ses sous-réseaux disponibles. Vous ne pouvez sélectionner qu'un seul sous-réseau par zone de disponibilité. Afin d'améliorer la disponibilité de votre équilibreur de charge, sélectionnez plusieurs zones de disponibilité et sous-réseaux.

Groupes de sécurité

1. Pour Security groups, sélectionnez un groupe de sécurité existant configuré pour autoriser le trafic HTTP requis sur le port 80 et le trafic HTTP sur le port 443.

   S'il n'en existe pas, vous pouvez créer un nouveau groupe de sécurité avec les règles nécessaires.

Écouteurs et routage

1. Conservez les paramètres par défaut de l'écouteur par défaut, puis sélectionnez Add listener.

2. Pour Listener sur le nouvel écouteur, sélectionnez HTTPS car le protocole et le port seront mis à jour vers 443. Par défaut, Instance utilise le protocole HTTP sur le port 80.

3. Si l'authentification back end est nécessaire, modifiez le protocole d'Instance par HTTPS. Cela mettra également à jour le port d'Instance vers 443

Paramètres de l'écouteur sécurisé

Lorsque vous utilisez HTTPS ou SSL pour votre écouteur frontal, vous devez déployer un certificat SSL sur votre équilibreur de charge. L'équilibreur de charge utilise le certificat pour mettre fin à la connexion, puis déchiffrer les demandes des clients avant de les envoyer aux instances. Vous devez également spécifier une politique de sécurité. Elastic Load Balancing fournit des politiques de sécurité qui ont des configurations de négociation SSL prédéfinies, mais vous pouvez également créer votre propre politique de sécurité personnalisée. Si vous avez configuré HTTPS/SSL sur la connexion principale, vous pouvez activer l'authentification de vos instances.

1. Pour la politique de sécurité, vérifiez que la stratégie est définie sur ELB SecurityPolicy -2016-08. Nous vous recommandons de toujours utiliser la stratégie de sécurité prédéfinie la plus récente ou de créer une stratégie personnalisée. Consultez Update the SSL Negotiation Configuration.

2. Pour Default SSL/TLS certificate, les options suivantes sont disponibles :

   • Si vous avez créé ou importé un certificat à l'aide de AWS Certificate Manager, sélectionnez From ACM, puis sélectionnez le certificat dans Select a certificate.

   • Si vous avez importé un certificat à l'aide d'IAM, sélectionnez From IAM et puis sélectionnez votre certificat dans Select a certificate.

   • Si vous avez un certificat à importer mais qu'ACM n'est pas disponible dans votre région, sélectionnez Import, puis sélectionnez To IAM. Tapez le nom du certificat dans le champ Certificate name. Dans Certificate private key, copiez et collez le contenu du fichier de clé privée (codé PEM). Dans Certificate body, copiez et collez le contenu du fichier de certificat de clé publique (codé PEM). Dans Certificate Chain (Chaîne de certificats), copiez et collez le contenu du fichier de chaîne de certificats (codé PEM), sauf si vous utilisez un certificat auto-signé et qu'il n'est pas important que les navigateurs acceptent implicitement le certificat.

3. (Facultatif) Si vous avez configuré l'écouteur HTTPS pour communiquer avec des instances à l'aide d'une connexion chiffrée, vous pouvez éventuellement configurer l'authentification des instances dans Backend authentication certificate.

   Note

   Si vous ne voyez pas la section Backend authentication certificate , retournez à Listeners and routing et sélectionnez HTTPS comme protocole pour Instance.

   1. Pour Certificate name, tapez le nom du certificat de clé publique.

   2. Pour Certificate Body (PEM encoded), copiez et collez le contenu du certificat. L'équilibreur de charge communique avec une instance uniquement si la clé publique correspond à cette clé.

   3. Pour ajouter un autre certificat, choisissez Add new backend certificate. La limite est de cinq.

Surveillance de l'état

1. Dans la section Ping target, sélectionnez un Ping Protocol et Ping Port. Vos instances EC2 doivent accepter le trafic sur le port de ping spécifié.

2. Pour Ping Port, assurez-vous que le port est 80.

3. Pour Ping Path, remplacez la valeur par défaut par une seule barre oblique, (/). Cela indique à Elastic Load Balancing d'envoyer les demandes de surveillance de l'état à la page d'accueil par défaut pour votre serveur web, par exemple, index.html.

4. Pour Advanced health check settings, utilisez les valeurs par défaut.

Instances

1. Sélectionnez Add instances pour afficher l'écran de sélection des instances.

2. Sous Available instances, vous pouvez sélectionner parmi les instances actuellement disponibles pour l'équilibreur de charge, en fonction des paramètres réseau sélectionnés précédemment.

3. Lorsque vous êtes satisfait de vos sélections, sélectionnez Confirm pour ajouter les instances à enregistrer dans l'équilibreur de charge.

Attributs

1. Pour Enable cross-zone load balancing, Enable connection draining et Timeout (draining interval) conservez les valeurs par défaut.

Balises d'équilibreur de charge (facultatif)

1. Le champ Key est obligatoire.

2. Le champ Value est facultatif.

3. Pour ajouter une autre balise, sélectionnez Add new tag puis entrez vos valeurs dans le champ Key et éventuellement le champ Value.

4. Pour supprimer une balise existante, sélectionner Remove en regard de la balise à supprimer.

Résumé et création

1. Si vous devez modifier des paramètres, sélectionnez Edit en regard du paramètre à modifier.

2. Une fois que vous êtes satisfait de tous les paramètres affichés dans le résumé, sélectionnez Create load balancer pour commencer à créer votre équilibreur de charge.

3. Sur la dernière page de création, sélectionnez View load balancer pour afficher votre équilibreur de charge dans la console Amazon EC2.

Vérification

1. Sélectionnez votre nouvel équilibreur de charge.

2. Sous l'onglet Target instances, vérifiez la colonne Health status. Une fois qu'au moins l'une de vos instances EC2 est en service, vous pouvez tester votre équilibreur de charge.

3. Dans la section Détails, copiez les équilibreurs de charge DNS name qui ressemblerait à my-load-balancer-1234567890.us-east-1.elb.amazonaws.com.

4. Collez le nom DNS de votre nouvel équilibreur de charge dans le champ d'adresse d'un navigateur web public connecté à Internet. Si votre équilibreur de charge fonctionne correctement, vous voyez la page par défaut de votre serveur.

Supprimer (facultatif)

1. Si vous avez un enregistrement CNAME pour votre domaine qui pointe sur votre équilibreur de charge, faites-le pointer sur un nouvel emplacement et attendez que le changement DNS prenne effet avant de supprimer votre équilibreur de charge.

2. Ouvrez la console Amazon EC2 à l’adresse https://console.aws.amazon.com/ec2/.

3. Sélectionnez l'équilibreur de charge.

4. Sélectionnez Actions, Delete load balancer.

5. Lorsque vous êtes invité à confirmer, tapez confirm, puis sélectionnez Delete.

6. Une fois que vous avez supprimé un équilibreur de charge, les instances EC2 enregistrées auprès de l'équilibreur de charge continuent de s'exécuter. Vous serez facturé pour chaque heure partielle ou complète pendant laquelle elles continuent de s'exécuter. Lorsque vous n'avez plus besoin d'une instance EC2, vous pouvez l'arrêter ou la résilier pour éviter des frais supplémentaires.

Obtenez l'Amazon Resource Name (ARN) du certificat SSL. Par exemple :

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

Utilisez la create-load-balancercommande suivante pour configurer l'équilibreur de charge avec les deux écouteurs :

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

Voici un exemple de réponse :

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

(Facultatif) Utilisez la describe-load-balancerscommande suivante pour afficher les détails de votre équilibreur de charge :

aws elb describe-load-balancers --load-balancer-name my-load-balancer

Utilisez la describe-load-balancer-policiescommande suivante pour répertorier les noms des politiques de sécurité prédéfinies :

aws elb describe-load-balancer-policies

Pour plus d'informations sur la configuration des stratégies de sécurité prédéfinies, consultez Politiques de sécurité SSL prédéfinies.

Utilisez la create-load-balancer-policycommande suivante pour créer une politique de négociation SSL à l'aide de l'une des politiques de sécurité prédéfinies que vous avez décrites à l'étape précédente :

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour vérifier que la politique est créée :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La réponse inclut la description de la stratégie.

Utilisez la commande set-load-balancer-policies-of-listener suivante pour activer la politique sur le port 443 de l'équilibreur de charge :

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Facultatif) Utilisez la describe-load-balancerscommande suivante pour vérifier que la politique est activée :

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

Voici un exemple de réponse montrant que la stratégie est activée sur le port 443.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Utilisez la create-load-balancer-policycommande pour créer une politique de négociation SSL à l'aide d'une politique de sécurité personnalisée. Par exemple :

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour vérifier que la politique est créée :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La réponse inclut la description de la stratégie.

Utilisez la commande set-load-balancer-policies-of-listener suivante pour activer la politique sur le port 443 de l'équilibreur de charge :

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Facultatif) Utilisez la describe-load-balancerscommande suivante pour vérifier que la politique est activée :

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

Voici un exemple de réponse montrant que la stratégie est activée sur le port 443.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Utilisez la commande suivante pour extraire la clé publique :

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

Utilisez la create-load-balancer-policycommande suivante pour créer une politique de clé publique :

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

Utilisez la create-load-balancer-policycommande suivante pour créer une politique d'authentification d'instance principale à l'aide my-PublicKey-policy de.

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

Vous pouvez éventuellement utiliser plusieurs stratégies de clé publique. L'équilibreur de charge essaie toutes les clés, une par une. Si la clé publique présentée par une instance correspond à l'une de ces clés publiques, l'instance est authentifiée.

Utilisez la for-backend-server commande set-load-balancer-policies- suivante pour my-authentication-policy définir le port d'instance pour HTTPS. Dans cet exemple, le port d'instance est le port 443.

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour répertorier toutes les politiques de votre équilibreur de charge :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour afficher les détails de la politique :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy