View a markdown version of this page

共享应用程序负载均衡器的 Elastic Load Balancing 信任存储 - Elastic Load Balancing
先决条件Permissions共享信任存储停止共享信任存储计费和计量

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

共享应用程序负载均衡器的 Elastic Load Balancing 信任存储

弹性负载平衡与 AWS Resource Access Manager (AWS RAM) 集成以支持信任存储共享。 AWS RAM 是一项服务，使您能够在组织或组织单位 (OU) 之间 AWS 账户 和内部安全地共享您的 Elastic Load Balancing 信任存储资源。。如果您有多个账户，则可以创建一次信任存储，然后使用 AWS RAM 使其可供其他账户使用。如果您的账户由管理 AWS Organizations，则可以与组织中的所有账户共享信任存储，也可以仅与指定组织单位 (OU) 内的账户共享信托库。

使用 AWS RAM，您可以通过创建资源共享来共享自己拥有的资源。资源共享指定要共享的资源以及与之共享资源的使用者。在此模型中 AWS 账户 ，拥有信托商店的人（所有者）与其他人 AWS 账户 （消费者）共享。消费者可以将共享的信任存储关联到其应用程序负载均衡器侦听器，就像在自己的账户中关联信任存储一样。

信任存储所有者可以与以下对象共享信任存储：

  • 其组织 AWS 账户 内部或外部的具体内容 AWS Organizations

  • 其组织内部的一个组织单位 AWS Organizations

  • 它的整个组织在 AWS Organizations

信任存储共享的先决条件

  • 必须使用创建资源共享 AWS Resource Access Manager。有关更多信息，请参阅《AWS RAM 用户指南》中的 Create a resource share。

  • 要共享信托存储库，您必须将其归您的 AWS 账户. 您不能共享已与您共享的信任存储。

  • 要与您的组织或 AWS Organizations中的组织单位共享信任存储，您必须启用与 AWS Organizations的共享。有关更多信息，请参阅《AWS RAM 用户指南》中的在 AWS Organizations中启用资源共享。

共享信任存储的权限

信任存储所有者

  • 信任存储所有者可以创建信任存储。

  • 信任存储所有者可以在同一个账户中使用带有负载均衡器的信任存储。

  • 信托商店所有者可以与其他 AWS 账户共享信托存储库或 AWS Organizations.

  • 信托商店所有者可以取消与任何 AWS 帐户共享信托存储库或 AWS Organizations.

  • 信任存储所有者不能阻止负载均衡器使用同一账户中的信任存储。

  • 信任存储所有者可以列出使用共享信任存储的所有应用程序负载均衡器。

  • 如果当前没有关联，则信任存储所有者可以删除信任存储。

  • 信任存储所有者可以删除与共享的信任存储的关联。

  • 使用共享信任存储库时，信任存储库所有者会收到 CloudTrail 日志。

信任存储消费者

  • 信任存储消费者可以查看共享的信任存储。

  • 信任存储消费者可以在同一个账户中使用信任存储创建或修改侦听器。

  • 信任存储消费者可以使用共享的信任存储创建或修改侦听器。

  • 信任存储消费者无法使用不再共享的信任存储来创建侦听器。

  • 信任存储消费者无法修改共享的信任存储。

  • 信任存储消费者在与侦听器关联时可以查看共享的信任存储 ARN。

  • 使用共享信任存储库创建或修改监听器时，信任存储区消费者会收到 CloudTrail 日志。

托管权限

共享信任存储时，资源共享使用托管权限来控制信任存储消费者允许的操作。您可以使用默认的托管权限 AWSRAMPermissionElasticLoadBalancingTrustStore（包括所有可用权限），也可以创建自己的客户托管权限。DescribeTrustStores、DescribeTrustStoreRevocations 和 DescribeTrustStoreAssociations 权限始终启用，不可删除。

信任存储资源共享支持下列权限：

弹性负载均衡：CreateListener

可以将共享的信任存储附加到新侦听器。

弹性负载均衡：ModifyListener

可以将共享的信任存储附加到现有侦听器。

弹性负载均衡：GetTrustStoreCaCertificatesBundle

可以下载与共享的信任存储关联的 CA 证书捆绑包。

弹性负载均衡：GetTrustStoreRevocationContent

可以下载与共享的信任存储关联的吊销文件。

弹性负载均衡：DescribeTrustStores （默认）

可以列出该账户拥有和共享的所有信任存储。

弹性负载均衡：DescribeTrustStoreRevocations （默认）

可以列出给定信任存储 ARN 的所有吊销内容。

弹性负载均衡：DescribeTrustStoreAssociations （默认）

可以列出信任存储消费者账户中与共享的信任存储关联的所有资源。

共享信任存储

要共享信任存储，您必须将它添加到资源共享。资源共享是一项 AWS RAM 资源，可让您跨 AWS 账户共享资源。资源共享指定了要共享的资源、共享资源的使用者，以及主体可以执行的操作。在使用 Amazon EC2 控制台共享信任存储时，必须将它添加到现有资源共享。要将信任存储添加到新的资源共享，您必须首先使用 AWS RAM 控制台创建资源共享。

当您与其他人共享自己拥有的信任存储库时 AWS 账户，您可以允许这些账户将其应用程序负载均衡器监听器与您账户中的信任存储区关联起来。

如果您是组织中的一员， AWS Organizations 并且启用了组织内部共享功能，则组织中的消费者将自动获得访问共享信任存储库的权限。否则，消费者会收到加入资源共享的邀请，并在接受邀请后获得对共享的信任存储的访问权限。

您可以使用 Amazon EC2 控制台、 AWS RAM 控制台或 AWS CLI共享您拥有的信任存储。

使用 Amazon EC2 控制台共享您拥有的信任存储

  1. 打开位于 https://console.aws.amazon.com/ec2/ 的 Amazon EC2 控制台。

  2. 在导航窗格上的负载均衡下，选择信任存储。

  3. 选择信任存储名称以查看其详细信息页面。

  4. 在共享选项卡上，选择共享信任存储。

  5. 在共享信任存储页面的资源共享下，选择您的信任存储将与哪些资源共享共享。

  6. （可选）如果需要创建新的资源共享，请选择在 RAM 控制台中创建资源共享链接。

  7. 选择共享信任存储。

要共享您拥有的信托库，请使用 AWS RAM 控制台

请参阅《AWS RAM 用户指南》中的创建资源共享。

要共享您拥有的信托库，请使用 AWS CLI

使用 create-resource-share 命令。

停止共享信任存储

要停止共享您拥有的信任存储，必须从资源共享中将其删除。在您停止共享信任存储后，现有关联仍然存在，但是不允许与先前共享的信任存储建立新关联。当信任存储所有者或信任存储消费者删除关联时，该关联将从两个账户中删除。如果信任存储消费者希望保留资源共享，则必须要求资源共享的所有者删除该账户。

删除关联

信托库所有者可以使用DeleteTrustStoreAssociation命令强制删除现有的信任库关联。删除关联后，任何使用信任存储的负载均衡器侦听器都无法再验证客户端证书，并且 TLS 握手将失败。

您可以使用 Amazon EC2 控制台、 AWS RAM 控制台或 AWS CLI停止共享信任存储。

使用 Amazon EC2 控制台停止共享您拥有的信任存储

  1. 打开位于 https://console.aws.amazon.com/ec2/ 的 Amazon EC2 控制台。

  2. 在导航窗格上的负载均衡下，选择信任存储。

  3. 选择信任存储名称以查看其详细信息页面。

  4. 在共享选项卡的资源共享下，选择要停止共享的资源共享。

  5. 选择移除 。

要停止共享您拥有的信任库，请使用 AWS RAM 控制台

请参阅《AWS RAM 用户指南》中的更新资源共享。

要停止共享您拥有的信任库，请使用 AWS CLI

使用 disassociate-resource-share 命令。

计费和计量

共享的信任存储按照与应用程序负载均衡器的每个信任存储关联收取相同的标准信任存储费率，按小时计费。

有关更多信息（包括每个区域的具体费率），请参阅 Elastic Load Balancing 定价