本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
在运行 PHP 的 EC2 实例上终止 HTTPS
对于 PHP 容器类型，您可使用配置文件来允许 Apache HTTP Server 使用 HTTPS。
将以下代码段添加到您的配置文件中，按照提示替换证书和私有密钥资料，并将该文件保存在源包的 .ebextensions 目录中。
该配置文件执行以下任务：
-
packages密钥使用 yum 安装mod24_ssl。 -
files密钥在实例上创建以下文件：/etc/httpd/conf.d/ssl.conf-
配置 Apache 服务器。此文件在 Apache 服务启动时加载。
/etc/pki/tls/certs/server.crt-
在实例上创建证书文件。
certificate file contents替换为证书的内容。注意
YAML 依赖一致的缩进。当替换示例配置文件中的内容时，应匹配缩进级别，并且确保您的文本编辑器使用空格而不是字符来进行缩进。
如果您有中间证书，请将其放入
server.crt中您的站点证书的后面：-----BEGIN CERTIFICATE-----certificate file contents-----END CERTIFICATE----------BEGIN CERTIFICATE-----first intermediate certificate-----END CERTIFICATE----- -----BEGIN CERTIFICATE-----second intermediate certificate-----END CERTIFICATE----- /etc/pki/tls/certs/server.key-
在实例上创建私有密钥文件。
private key contents替换为用于创建证书请求或自签名证书的私钥内容。
例 .ebextensions/https-instance.config
packages:
yum:
mod24_ssl : []
files:
/etc/httpd/conf.d/ssl.conf:
mode: "000644"
owner: root
group: root
content: |
LoadModule ssl_module modules/mod_ssl.so
Listen 443
<VirtualHost *:443>
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
SSLEngine on
SSLCertificateFile "/etc/pki/tls/certs/server.crt"
SSLCertificateKeyFile "/etc/pki/tls/certs/server.key"
SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
SSLProtocol All -SSLv2 -SSLv3
SSLHonorCipherOrder On
SSLSessionTickets Off
Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"
Header always set X-Frame-Options DENY
Header always set X-Content-Type-Options nosniff
ProxyPass / http://localhost:80/ retry=0
ProxyPassReverse / http://localhost:80/
ProxyPreserveHost on
RequestHeader set X-Forwarded-Proto "https" early
</VirtualHost>
/etc/pki/tls/certs/server.crt:
mode: "000400"
owner: root
group: root
content: |
-----BEGIN CERTIFICATE-----
certificate file contents
-----END CERTIFICATE-----
/etc/pki/tls/certs/server.key:
mode: "000400"
owner: root
group: root
content: |
-----BEGIN RSA PRIVATE KEY-----
private key contents # See note below.
-----END RSA PRIVATE KEY-----注意
避免将包含私有密钥的配置文件提交到源控件。在测试完配置并确认其有效后，请在 Amazon S3 中存储私有密钥并修改配置以在部署期间下载该密钥。有关说明，请参阅 在 Amazon S3 中安全地存储私有密钥。
在单实例环境中，您还必须修改实例的安全组，以便允许端口 443 上的流量。以下配置文件使用 AWS CloudFormation 函数检索安全组的 ID 并向其添加规则。
例 .ebextensions/ .config https-instance-single
Resources:
sslSecurityGroupIngress:
Type: AWS::EC2::SecurityGroupIngress
Properties:
GroupId: {"Fn::GetAtt" : ["AWSEBSecurityGroup", "GroupId"]}
IpProtocol: tcp
ToPort: 443
FromPort: 443
CidrIp: 0.0.0.0/0对于负载平衡的环境，您可以将负载均衡器配置为要么原封不动地传递安全流量，要么解密并重新加密以进行加密。 end-to-end
