Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Mengkonfigurasi TLS bersama pada Penyeimbang Beban Aplikasi
Untuk menggunakan mode passthrough TLS bersama, Anda hanya perlu mengonfigurasi pendengar untuk menerima sertifikat apa pun dari klien. Saat Anda menggunakan passthrough TLS bersama, Application Load Balancer mengirimkan seluruh rantai sertifikat klien ke target menggunakan header HTTP, yang memungkinkan Anda menerapkan autentikasi dan logika otorisasi yang sesuai dalam aplikasi Anda. Untuk informasi selengkapnya, lihat [ Membuat pendengar HTTPS untuk Penyeimbang Beban Aplikasi Anda. ](create-https-listener.md)
Saat Anda menggunakan TLS bersama dalam mode verifikasi, Application Load Balancer melakukan otentikasi sertifikat X.509 klien untuk klien saat penyeimbang beban menegosiasikan koneksi TLS.
Untuk menggunakan mode verifikasi TLS bersama, lakukan hal berikut:
+ Buat sumber daya toko kepercayaan baru.
+ Unggah bundel otoritas sertifikat (CA) Anda dan, secara opsional, daftar pencabutan.
+ Lampirkan penyimpanan kepercayaan ke pendengar yang dikonfigurasi untuk memverifikasi sertifikat klien.
Gunakan prosedur berikut untuk mengonfigurasi mode verifikasi TLS bersama pada Penyeimbang Beban Aplikasi Anda.
**Topics**
+ [Buat toko kepercayaan](#create-trust-store)
+ [Mengaitkan toko kepercayaan](#associate-trust-store)
+ [Mengganti bundel sertifikat CA](#replace-ca-cert-bundle)
+ [Menambahkan daftar pencabutan sertifikat](#add-cert-revocation-list)
+ [Menghapus daftar pencabutan sertifikat](#delete-cert-revocation-list)
+ [Menghapus toko kepercayaan](#delete-trust-store)
## Buat toko kepercayaan
Jika Anda menambahkan penyimpanan kepercayaan saat membuat penyeimbang beban atau pendengar, penyimpanan kepercayaan secara otomatis dikaitkan dengan pendengar baru. Jika tidak, Anda harus mengaitkannya dengan pendengar sendiri.
**Prasyarat**
+ Untuk membuat penyimpanan kepercayaan, Anda harus memiliki bundel sertifikat dari Otoritas Sertifikat (CA) Anda.
------
#### [ Console ]
Contoh berikut membuat penyimpanan kepercayaan menggunakan ** bagian ** Trust Store dari konsol. Atau, Anda dapat membuat penyimpanan kepercayaan saat Anda membuat pendengar HTTP.
**Untuk membuat toko kepercayaan**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Trust Stores**.
1. Pilih ** Buat toko kepercayaan**.
1. **Konfigurasi toko kepercayaan **
1. Untuk nama toko ** kepercayaan**, masukkan nama untuk toko kepercayaan Anda.
1. Untuk bundel otoritas ** sertifikat**, masukkan jalur Amazon S3 ke bundel sertifikat ca yang akan digunakan.
1. (Opsional) ** Gunakan versi ** Objek untuk memilih versi sebelumnya dari bundel sertifikat ca. Jika tidak, versi saat ini digunakan.
1. (Opsional) Untuk ** Pembatalan**, Anda dapat menambahkan daftar pencabutan sertifikat ke penyimpanan kepercayaan Anda.
1. Pilih ** Tambahkan CRL baru ** dan masukkan lokasi daftar pencabutan sertifikat di Amazon S3.
1. (Opsional) Gunakan versi Ob ** ** jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.
1. (Opsional) ** Perluas tag toko kepercayaan ** dan masukkan hingga 50 tag untuk toko kepercayaan Anda.
1. Pilih ** Buat toko kepercayaan**.
------
#### [ AWS CLI ]
**Untuk membuat toko kepercayaan**
Gunakan perintah [ create-trust-store](https://docs.aws.amazon.com/cli/latest/reference/elbv2/create-trust-store.html).
```
aws elbv2 create-trust-store \
--name {{my-trust-store}} \
--ca-certificates-bundle-s3-bucket {{amzn-s3-demo-bucket}} \
--ca-certificates-bundle-s3-key {{certificates/ca-bundle.pem}}
```
------
#### [ CloudFormation ]
**Untuk membuat toko kepercayaan**
Tentukan sumber daya tipe [ AWS::ElasticLoadBalancing V2:: TrustStore](https://docs.aws.amazon.com/AWSCloudFormation/latest/TemplateReference/aws-resource-elasticloadbalancingv2-truststore.html).
```
Resources:
myTrustStore:
Type: 'AWS::ElasticLoadBalancingV2::TrustStore'
Properties:
Name: {{my-trust-store}}
CaCertificatesBundleS3Bucket: {{amzn-s3-demo-bucket}}
CaCertificatesBundleS3Key: {{certificates/ca-bundle.pem}}
```
------
## Mengaitkan toko kepercayaan
Setelah membuat penyimpanan kepercayaan, Anda harus mengaitkannya dengan pendengar sebelum Application Load Balancer Anda dapat mulai menggunakan penyimpanan kepercayaan. Anda hanya dapat memiliki satu penyimpanan kepercayaan yang terkait dengan masing-masing pendengar aman Anda, tetapi satu penyimpanan kepercayaan dapat dikaitkan dengan beberapa pendengar.
------
#### [ Console ]
Anda dapat mengaitkan penyimpanan kepercayaan dengan pendengar yang ada, seperti yang ditunjukkan dalam prosedur berikut. Atau, Anda dapat mengaitkan penyimpanan kepercayaan saat membuat pendengar HTTPS. Untuk informasi selengkapnya, lihat [ Membuat pendengar HTTPS](create-https-listener.md).
**Untuk mengaitkan toko kepercayaan**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Load Balancers**.
1. Pilih penyeimbang beban.
1. Pada ** tab ** Pendengar dan aturan, pilih tautan di ** Protocol:Port ** kolom untuk membuka halaman detail untuk pendengar aman.
1. Pada ** tab ** Keamanan, pilih ** Edit pengaturan pendengar aman**.
1. Jika TLS bersama tidak diaktifkan, pilih Otentikasi ** bersama (MTL) ** di bawah Penanganan sertifikat ** klien, ** lalu pilih ** Verifikasi dengan penyimpanan kepercayaan. **
1. Untuk ** Trust store**, pilih toko kepercayaan.
1. Pilih **Simpan perubahan**.
------
#### [ AWS CLI ]
**Untuk mengaitkan toko kepercayaan**
Gunakan perintah [modifikasi-listener](https://docs.aws.amazon.com/cli/latest/reference/elbv2/modify-listener.html).
```
aws elbv2 modify-listener \
--listener-arn {{listener-arn}} \
--mutual-authentication "Mode=verify,TrustStoreArn={{trust-store-arn}}"
```
------
#### [ CloudFormation ]
**Untuk mengaitkan toko kepercayaan**
Perbarui [ sumber daya ](https://docs.aws.amazon.com/AWSCloudFormation/latest/TemplateReference/aws-resource-elasticloadbalancingv2-listener.html) AWS::ElasticLoadBalancing V2: :Listener.
```
Resources:
myHTTPSListener:
Type: 'AWS::ElasticLoadBalancingV2::Listener'
Properties:
LoadBalancerArn: !Ref myLoadBalancer
Protocol: HTTPS
Port: 443
DefaultActions:
- Type: "forward"
TargetGroupArn: !Ref myTargetGroup
SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
Certificates:
- CertificateArn: certificate-arn
MutualAuthentication:
- Mode: verify
TrustStoreArn: {{trust-store-arn}}
```
------
## Mengganti bundel sertifikat CA
Bundel sertifikat CA adalah komponen wajib dari penyimpanan kepercayaan. Ini adalah kumpulan sertifikat root dan perantara tepercaya yang telah divalidasi oleh otoritas sertifikat. Sertifikat yang divalidasi ini memastikan klien dapat mempercayai sertifikat yang disajikan dimiliki oleh penyeimbang beban.
Penyimpanan kepercayaan hanya dapat berisi satu bundel sertifikat CA pada satu waktu, tetapi Anda dapat mengganti bundel sertifikat CA kapan saja setelah penyimpanan kepercayaan dibuat.
------
#### [ Console ]
**Untuk mengganti bundel sertifikat CA**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Trust Stores**.
1. Pilih toko kepercayaan.
1. Pilih T ** ind ** akan, ** Ganti bundel CA**.
1. Pada ** halaman ** Ganti bundel CA, di bawah paket otoritas ** sertifikat**, masukkan lokasi Amazon S3 dari bundel CA yang diinginkan.
1. (Opsional) Gunakan versi Ob ** ** jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.
1. Pilih G ** anti bundel CA**.
------
#### [ AWS CLI ]
**Untuk mengganti bundel sertifikat CA**
Gunakan perintah [ modify- ](https://docs.aws.amazon.com/cli/latest/reference/elbv2/modify-trust-store.html) trust-store.
```
aws elbv2 modify-trust-store \
--trust-store-arn {{trust-store-arn}} \
--ca-certificates-bundle-s3-bucket {{amzn-s3-demo-bucket-new}} \
--ca-certificates-bundle-s3-key {{certificates/new-ca-bundle-pem}}
```
------
#### [ CloudFormation ]
**Untuk memperbarui bundel sertifikat CA**
Tentukan sumber daya tipe [ AWS::ElasticLoadBalancing V2:: TrustStore](https://docs.aws.amazon.com/AWSCloudFormation/latest/TemplateReference/aws-resource-elasticloadbalancingv2-truststore.html).
```
Resources:
myTrustStore:
Type: 'AWS::ElasticLoadBalancingV2::TrustStore'
Properties:
Name: my-trust-store
CaCertificatesBundleS3Bucket: {{amzn-s3-demo-bucket-new}}
CaCertificatesBundleS3Key: {{certificates/new-ca-bundle.pem}}
```
------
## Menambahkan daftar pencabutan sertifikat
Secara opsional, Anda dapat membuat daftar pencabutan sertifikat untuk penyimpanan kepercayaan. Daftar pencabutan dirilis oleh otoritas sertifikat dan berisi data untuk sertifikat yang telah dicabut. Application Load Balancers hanya mendukung daftar pencabutan sertifikat dalam format PEM.
Saat daftar pencabutan sertifikat ditambahkan ke penyimpanan kepercayaan, maka akan diberikan ID pencabutan. ID pencabutan meningkat untuk setiap daftar pencabutan yang ditambahkan ke penyimpanan kepercayaan, dan tidak dapat diubah.
Application Load Balancers tidak dapat mencabut sertifikat yang memiliki nomor seri negatif dalam daftar pencabutan sertifikat.
------
#### [ Console ]
**Untuk menambahkan daftar pencabutan**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Trust Stores**.
1. Pilih toko kepercayaan untuk melihat halaman detailnya.
1. Pada ** tab Daftar ** pencabutan sertifikat, pilih Tindakan**, ** ** Tambahkan daftar pencabutan. **
1. Pada ** halaman ** Tambahkan daftar pencabutan, di bawah Daftar pen ** cabutan sertifikat, ** masukkan lokasi Amazon S3 dari daftar pencabutan sertifikat yang diinginkan
1. (Opsional) Gunakan versi Ob ** ** jek untuk memilih versi sebelumnya dari daftar pencabutan sertifikat. Jika tidak, versi saat ini digunakan.
1. Pilih ** Tambahkan daftar pencabutan **
------
#### [ AWS CLI ]
**Untuk menambahkan daftar pencabutan**
Gunakan perintah [ add-trust- ](https://docs.aws.amazon.com/cli/latest/reference/elbv2/add-trust-store-revocations.html) store-revocations.
```
aws elbv2 add-trust-store-revocations \
--trust-store-arn {{trust-store-arn}} \
--revocation-contents "S3Bucket={{amzn-s3-demo-bucket}},S3Key={{crl/revoked-list.crl}},RevocationType=CRL"
```
------
#### [ CloudFormation ]
**Untuk menambahkan daftar pencabutan**
Tentukan sumber daya tipe [ AWS::ElasticLoadBalancing V2:: TrustStoreRevocation](https://docs.aws.amazon.com/AWSCloudFormation/latest/TemplateReference/aws-resource-elasticloadbalancingv2-truststorerevocation.html).
```
Resources:
myRevocationContents:
Type: 'AWS:ElasticLoadBalancingV2::TrustStoreRevocation'
Properties:
TrustStoreArn: !Ref myTrustStore
RevocationContents:
- RevocationType: CRL
S3Bucket: {{amzn-s3-demo-bucket}}
S3Key: {{crl/revoked-list.crl}}
```
------
## Menghapus daftar pencabutan sertifikat
Jika Anda tidak lagi memerlukan daftar pencabutan sertifikat, Anda dapat menghapusnya. Saat Anda menghapus daftar pencabutan sertifikat dari penyimpanan kepercayaan, ID pencabutan juga dihapus dan tidak digunakan kembali selama masa penyimpanan kepercayaan.
------
#### [ Console ]
**Untuk menghapus daftar pencabutan**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Trust Stores**.
1. Pilih toko kepercayaan.
1. Pada ** tab Daftar ** pencabutan sertifikat, pilih Tindakan**, ** Hapus daftar ** pencabutan. **
1. Saat diminta mengonfirmasi, pilih **confirm**.
1. Pilih **Hapus**.
------
#### [ AWS CLI ]
**Untuk menghapus daftar pencabutan**
Gunakan perintah [ remove-trust-store-revocations](https://docs.aws.amazon.com/cli/latest/reference/elbv2/remove-trust-store-revocations.html).
```
aws elbv2 remove-trust-store-revocations \
--trust-store-arn {{trust-store-arn}} \
--revocation-ids {{id-1}} {{id-2}} {{id-3}}
```
------
## Menghapus toko kepercayaan
Jika Anda tidak lagi memiliki kegunaan untuk toko kepercayaan, Anda dapat menghapusnya. Anda tidak dapat menghapus toko kepercayaan yang terkait dengan pendengar.
------
#### [ Console ]
**Untuk menghapus toko kepercayaan**
1. Buka konsol Amazon EC2 di [ https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/).
1. Pada panel navigasi, pilih ** Trust Stores**.
1. Pilih toko kepercayaan.
1. Pilih **Hapus**.
1. Saat diminta konfirmasi, masukkan `confirm`, lalu pilih **Hapus**.
------
#### [ AWS CLI ]
**Untuk menghapus toko kepercayaan**
Gunakan perintah [ delete-trust-store](https://docs.aws.amazon.com/cli/latest/reference/elbv2/delete-trust-store.html).
```
aws elbv2 delete-trust-store \
--trust-store-arn {{trust-store-arn}}
```
------