View a markdown version of this page

Mengkonfigurasi TLS bersama pada Penyeimbang Beban Aplikasi - Elastic Load Balancing
Buat toko kepercayaanMengaitkan toko kepercayaanMengganti bundel sertifikat CAMenambahkan daftar pencabutan sertifikatMenghapus daftar pencabutan sertifikatMenghapus toko kepercayaan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi TLS bersama pada Penyeimbang Beban Aplikasi

Untuk menggunakan mode passthrough TLS bersama, Anda hanya perlu mengonfigurasi pendengar untuk menerima sertifikat apa pun dari klien. Saat Anda menggunakan passthrough TLS bersama, Application Load Balancer mengirimkan seluruh rantai sertifikat klien ke target menggunakan header HTTP, yang memungkinkan Anda menerapkan autentikasi dan logika otorisasi yang sesuai dalam aplikasi Anda. Untuk informasi selengkapnya, lihat Membuat pendengar HTTPS untuk Penyeimbang Beban Aplikasi Anda.

Saat Anda menggunakan TLS bersama dalam mode verifikasi, Application Load Balancer melakukan otentikasi sertifikat X.509 klien untuk klien saat penyeimbang beban menegosiasikan koneksi TLS.

Untuk menggunakan mode verifikasi TLS bersama, lakukan hal berikut:

  • Buat sumber daya toko kepercayaan baru.

  • Unggah bundel otoritas sertifikat (CA) Anda dan, secara opsional, daftar pencabutan.

  • Lampirkan penyimpanan kepercayaan ke pendengar yang dikonfigurasi untuk memverifikasi sertifikat klien.

Gunakan prosedur berikut untuk mengonfigurasi mode verifikasi TLS bersama pada Penyeimbang Beban Aplikasi Anda.

Buat toko kepercayaan

Jika Anda menambahkan penyimpanan kepercayaan saat membuat penyeimbang beban atau pendengar, penyimpanan kepercayaan secara otomatis dikaitkan dengan pendengar baru. Jika tidak, Anda harus mengaitkannya dengan pendengar sendiri.

Prasyarat

  • Untuk membuat penyimpanan kepercayaan, Anda harus memiliki bundel sertifikat dari Otoritas Sertifikat (CA) Anda.

Console

Contoh berikut membuat penyimpanan kepercayaan menggunakan bagian Trust Store dari konsol. Atau, Anda dapat membuat penyimpanan kepercayaan saat Anda membuat pendengar HTTP.

Untuk membuat toko kepercayaan

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Trust Stores.

  3. Pilih Buat toko kepercayaan.

  4. Konfigurasi toko kepercayaan

    1. Untuk nama toko kepercayaan, masukkan nama untuk toko kepercayaan Anda.

    2. Untuk bundel otoritas sertifikat, masukkan jalur Amazon S3 ke bundel sertifikat ca yang akan digunakan.

    3. (Opsional) Gunakan versi Objek untuk memilih versi sebelumnya dari bundel sertifikat ca. Jika tidak, versi saat ini digunakan.

  5. (Opsional) Untuk Pembatalan, Anda dapat menambahkan daftar pencabutan sertifikat ke penyimpanan kepercayaan Anda.

    1. Pilih Tambahkan CRL baru dan masukkan lokasi daftar pencabutan sertifikat di Amazon S3.

    2. (Opsional) Gunakan versi Ob jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.

  6. (Opsional) Perluas tag toko kepercayaan dan masukkan hingga 50 tag untuk toko kepercayaan Anda.

  7. Pilih Buat toko kepercayaan.

AWS CLI
Untuk membuat toko kepercayaan

Gunakan perintah create-trust-store.

aws elbv2 create-trust-store \
    --name my-trust-store \
    --ca-certificates-bundle-s3-bucket amzn-s3-demo-bucket \
    --ca-certificates-bundle-s3-key certificates/ca-bundle.pem
CloudFormation
Untuk membuat toko kepercayaan

Tentukan sumber daya tipe AWS::ElasticLoadBalancing V2:: TrustStore.

Resources:
  myTrustStore:
    Type: 'AWS::ElasticLoadBalancingV2::TrustStore'
    Properties:
      Name: my-trust-store
      CaCertificatesBundleS3Bucket: amzn-s3-demo-bucket
      CaCertificatesBundleS3Key: certificates/ca-bundle.pem

Mengaitkan toko kepercayaan

Setelah membuat penyimpanan kepercayaan, Anda harus mengaitkannya dengan pendengar sebelum Application Load Balancer Anda dapat mulai menggunakan penyimpanan kepercayaan. Anda hanya dapat memiliki satu penyimpanan kepercayaan yang terkait dengan masing-masing pendengar aman Anda, tetapi satu penyimpanan kepercayaan dapat dikaitkan dengan beberapa pendengar.

Console

Anda dapat mengaitkan penyimpanan kepercayaan dengan pendengar yang ada, seperti yang ditunjukkan dalam prosedur berikut. Atau, Anda dapat mengaitkan penyimpanan kepercayaan saat membuat pendengar HTTPS. Untuk informasi selengkapnya, lihat Membuat pendengar HTTPS.

Untuk mengaitkan toko kepercayaan

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Load Balancers.

  3. Pilih penyeimbang beban.

  4. Pada tab Pendengar dan aturan, pilih tautan di Protocol:Port kolom untuk membuka halaman detail untuk pendengar aman.

  5. Pada tab Keamanan, pilih Edit pengaturan pendengar aman.

  6. Jika TLS bersama tidak diaktifkan, pilih Otentikasi bersama (MTL) di bawah Penanganan sertifikat klien, lalu pilih Verifikasi dengan penyimpanan kepercayaan.

  7. Untuk Trust store, pilih toko kepercayaan.

  8. Pilih Simpan perubahan.

AWS CLI
Untuk mengaitkan toko kepercayaan

Gunakan perintah modifikasi-listener.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --mutual-authentication "Mode=verify,TrustStoreArn=trust-store-arn"
CloudFormation
Untuk mengaitkan toko kepercayaan

Perbarui sumber daya AWS::ElasticLoadBalancing V2: :Listener.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn
      MutualAuthentication:
        - Mode: verify
          TrustStoreArn: trust-store-arn

Mengganti bundel sertifikat CA

Bundel sertifikat CA adalah komponen wajib dari penyimpanan kepercayaan. Ini adalah kumpulan sertifikat root dan perantara tepercaya yang telah divalidasi oleh otoritas sertifikat. Sertifikat yang divalidasi ini memastikan klien dapat mempercayai sertifikat yang disajikan dimiliki oleh penyeimbang beban.

Penyimpanan kepercayaan hanya dapat berisi satu bundel sertifikat CA pada satu waktu, tetapi Anda dapat mengganti bundel sertifikat CA kapan saja setelah penyimpanan kepercayaan dibuat.

Console
Untuk mengganti bundel sertifikat CA

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Trust Stores.

  3. Pilih toko kepercayaan.

  4. Pilih T ind akan, Ganti bundel CA.

  5. Pada halaman Ganti bundel CA, di bawah paket otoritas sertifikat, masukkan lokasi Amazon S3 dari bundel CA yang diinginkan.

  6. (Opsional) Gunakan versi Ob jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.

  7. Pilih G anti bundel CA.

AWS CLI
Untuk mengganti bundel sertifikat CA

Gunakan perintah modify- trust-store.

aws elbv2 modify-trust-store \
    --trust-store-arn trust-store-arn \
    --ca-certificates-bundle-s3-bucket amzn-s3-demo-bucket-new \
    --ca-certificates-bundle-s3-key certificates/new-ca-bundle-pem
CloudFormation
Untuk memperbarui bundel sertifikat CA

Tentukan sumber daya tipe AWS::ElasticLoadBalancing V2:: TrustStore.

Resources:
  myTrustStore:
    Type: 'AWS::ElasticLoadBalancingV2::TrustStore'
    Properties:
      Name: my-trust-store
      CaCertificatesBundleS3Bucket: amzn-s3-demo-bucket-new
      CaCertificatesBundleS3Key: certificates/new-ca-bundle.pem

Menambahkan daftar pencabutan sertifikat

Secara opsional, Anda dapat membuat daftar pencabutan sertifikat untuk penyimpanan kepercayaan. Daftar pencabutan dirilis oleh otoritas sertifikat dan berisi data untuk sertifikat yang telah dicabut. Application Load Balancers hanya mendukung daftar pencabutan sertifikat dalam format PEM.

Saat daftar pencabutan sertifikat ditambahkan ke penyimpanan kepercayaan, maka akan diberikan ID pencabutan. ID pencabutan meningkat untuk setiap daftar pencabutan yang ditambahkan ke penyimpanan kepercayaan, dan tidak dapat diubah.

Application Load Balancers tidak dapat mencabut sertifikat yang memiliki nomor seri negatif dalam daftar pencabutan sertifikat.

Console
Untuk menambahkan daftar pencabutan

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Trust Stores.

  3. Pilih toko kepercayaan untuk melihat halaman detailnya.

  4. Pada tab Daftar pencabutan sertifikat, pilih Tindakan, Tambahkan daftar pencabutan.

  5. Pada halaman Tambahkan daftar pencabutan, di bawah Daftar pen cabutan sertifikat, masukkan lokasi Amazon S3 dari daftar pencabutan sertifikat yang diinginkan

  6. (Opsional) Gunakan versi Ob jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.

  7. Pilih Tambahkan daftar pencabutan

AWS CLI
Untuk menambahkan daftar pencabutan

Gunakan perintah add-trust- store-revocations.

aws elbv2 add-trust-store-revocations \
    --trust-store-arn trust-store-arn \
    --revocation-contents "S3Bucket=amzn-s3-demo-bucket,S3Key=crl/revoked-list.crl,RevocationType=CRL"
CloudFormation
Untuk menambahkan daftar pencabutan

Tentukan sumber daya tipe AWS::ElasticLoadBalancing V2:: TrustStoreRevocation.

Resources:
  myRevocationContents:
    Type: 'AWS:ElasticLoadBalancingV2::TrustStoreRevocation'
    Properties:
      TrustStoreArn: !Ref myTrustStore
      RevocationContents:
        - RevocationType: CRL
          S3Bucket: amzn-s3-demo-bucket
          S3Key: crl/revoked-list.crl

Menghapus daftar pencabutan sertifikat

Jika Anda tidak lagi memerlukan daftar pencabutan sertifikat, Anda dapat menghapusnya. Saat Anda menghapus daftar pencabutan sertifikat dari penyimpanan kepercayaan, ID pencabutan juga dihapus dan tidak digunakan kembali selama masa penyimpanan kepercayaan.

Console
Untuk menghapus daftar pencabutan

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Trust Stores.

  3. Pilih toko kepercayaan.

  4. Pada tab Daftar pencabutan sertifikat, pilih Tindakan, Hapus daftar pencabutan.

  5. Saat diminta mengonfirmasi, pilih confirm.

  6. Pilih Hapus.

AWS CLI
Untuk menghapus daftar pencabutan

Gunakan perintah remove-trust-store-revocations.

aws elbv2 remove-trust-store-revocations \
    --trust-store-arn trust-store-arn \
    --revocation-ids id-1 id-2 id-3

Menghapus toko kepercayaan

Jika Anda tidak lagi memiliki kegunaan untuk toko kepercayaan, Anda dapat menghapusnya. Anda tidak dapat menghapus toko kepercayaan yang terkait dengan pendengar.

Console
Untuk menghapus toko kepercayaan

  1. Buka konsol Amazon EC2 di https://console.aws.amazon.com/ec2/.

  2. Pada panel navigasi, pilih Trust Stores.

  3. Pilih toko kepercayaan.

  4. Pilih Hapus.

  5. Saat diminta konfirmasi, masukkan confirm, lalu pilih Hapus.

AWS CLI
Untuk menghapus toko kepercayaan

Gunakan perintah delete-trust-store.

aws elbv2 delete-trust-store \
    --trust-store-arn trust-store-arn