Mettez à jour la configuration de SSL négociation de votre Classic Load Balancer

Ouvrez la EC2 console Amazon à l'adresse https://console.aws.amazon.com/ec2/.

Dans le panneau de navigation, sous Load Balancing (Équilibrage de charge), choisissez Load Balancers (Équilibreurs de charge).

Choisissez le nom de l'équilibreur de charge afin d'ouvrir sa page détaillée.

Sous l'onglet Listeners, choisissez Manage listeners.

Sur la page Manage listeners, localisez l'écouteur à mettre à jour, choisissez Edit sous Security policy sélectionnez une stratégie de sécurité à l'aide de l'une des options suivantes :

• Conservez la politique par défaut, ELBSecurityPolicy-2016-08, puis choisissez Enregistrer les modifications.

• Sélectionnez une stratégie prédéfinie autre que celle par défaut, puis choisissez Save changes.

• Sélectionnez Custom et activez au moins un protocole et un chiffrement comme suit :

  1. Pour SSLProtocoles, sélectionnez un ou plusieurs protocoles à activer.

  2. Dans SSLOptions, sélectionnez Préférence d'ordre du serveur pour utiliser l'ordre indiqué dans le Politiques SSL de sécurité prédéfinies pour les équilibreurs de charge classiques formulaire de SSL négociation.

  3. Pour les SSLchiffrements, sélectionnez un ou plusieurs chiffrements à activer. Si vous possédez déjà un SSL certificat, vous devez activer le chiffrement qui a été utilisé pour créer le certificat, car DSA les RSA chiffrements sont spécifiques à l'algorithme de signature.

  4. Sélectionnez Enregistrer les modifications.

Utilisez la describe-load-balancer-policiescommande suivante pour répertorier les politiques de sécurité prédéfinies fournies par Elastic Load Balancing. La syntaxe que vous utilisez dépend du système d'exploitation et du shell que vous utilisez.

Linux

aws elb describe-load-balancer-policies --query 'PolicyDescriptions[?PolicyTypeName==`SSLNegotiationPolicyType`].{PolicyName:PolicyName}' --output table

Windows

aws elb describe-load-balancer-policies --query "PolicyDescriptions[?PolicyTypeName==`SSLNegotiationPolicyType`].{PolicyName:PolicyName}" --output table

Voici un exemple de sortie :

------------------------------------------
|      DescribeLoadBalancerPolicies      |
+----------------------------------------+
|               PolicyName               |
+----------------------------------------+
|  ELBSecurityPolicy-2016-08             |
|  ELBSecurityPolicy-TLS-1-2-2017-01     |
|  ELBSecurityPolicy-TLS-1-1-2017-01     |
|  ELBSecurityPolicy-2015-05             |
|  ELBSecurityPolicy-2015-03             |
|  ELBSecurityPolicy-2015-02             |
|  ELBSecurityPolicy-2014-10             |
|  ELBSecurityPolicy-2014-01             |
|  ELBSecurityPolicy-2011-08             |
|  ELBSample-ELBDefaultCipherPolicy      |
|  ELBSample-OpenSSLDefaultCipherPolicy  |
+----------------------------------------+

Pour déterminer quels chiffrements sont activés pour une stratégie, utilisez la commande suivante :

aws elb describe-load-balancer-policies --policy-names ELBSecurityPolicy-2016-08 --output table

Pour plus d'informations sur la configuration des stratégies de sécurité prédéfinies, consultez Politiques SSL de sécurité prédéfinies pour les équilibreurs de charge classiques.

Utilisez la create-load-balancer-policycommande pour créer une politique de SSL négociation à l'aide de l'une des politiques de sécurité prédéfinies décrites à l'étape précédente. Par exemple, la commande suivante utilise la stratégie de sécurité prédéfinie par défaut :

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy  --policy-type-name SSLNegotiationPolicyType
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=ELBSecurityPolicy-2016-08

Si vous dépassez la limite du nombre de politiques pour l'équilibreur de charge, utilisez la delete-load-balancer-policycommande pour supprimer les politiques non utilisées.

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour vérifier que la politique est créée :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La réponse inclut la description de la stratégie.

Utilisez la commande set-load-balancer-policies-of-listener suivante pour activer la politique sur le port 443 de l'équilibreur de charge :

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Facultatif) Utilisez la describe-load-balancerscommande suivante pour vérifier que la nouvelle politique est activée pour le port de l'équilibreur de charge :

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

La réponse montre que la stratégie est activée sur le port 443.

...
  {
      "Listener": {
          "InstancePort": 443,
          "SSLCertificateId": "ARN",
          "LoadBalancerPort": 443,
          "Protocol": "HTTPS",
          "InstanceProtocol": "HTTPS"
      },
      "PolicyNames": [
          "my-SSLNegotiation-policy"
      ]
  }
...

Utilisez la create-load-balancer-policycommande pour créer une politique de SSL négociation à l'aide d'une politique de sécurité personnalisée. Par exemple :

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

Si vous dépassez la limite du nombre de politiques pour l'équilibreur de charge, utilisez la delete-load-balancer-policycommande pour supprimer les politiques non utilisées.

(Facultatif) Utilisez la describe-load-balancer-policiescommande suivante pour vérifier que la politique est créée :

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

La réponse inclut la description de la stratégie.

Utilisez la commande set-load-balancer-policies-of-listener suivante pour activer la politique sur le port 443 de l'équilibreur de charge :

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Facultatif) Utilisez la describe-load-balancerscommande suivante pour vérifier que la nouvelle politique est activée pour le port de l'équilibreur de charge :

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

La réponse montre que la stratégie est activée sur le port 443.

...
  {
      "Listener": {
          "InstancePort": 443,
          "SSLCertificateId": "ARN",
          "LoadBalancerPort": 443,
          "Protocol": "HTTPS",
          "InstanceProtocol": "HTTPS"
      },
      "PolicyNames": [
          "my-SSLNegotiation-policy"
      ]
  }
...