使用HTTPS侦听器创建 Classic Load Balancer

打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

在导航栏上，选择您的负载均衡器所在的区域。请务必选择与您为EC2实例选择的相同区域。

在导航窗格上的 Load Balancing (负载均衡) 下，选择 Load Balancers (负载均衡器)。

选择 Create Load Balancer (创建负载均衡器)。

展开经典负载均衡器部分，然后选择创建。

基本配置

1. 对于负载均衡器名称，键入负载均衡器的名称。

   在当前区域的经典负载均衡器集内，经典负载均衡器的名称必须唯一，最多可以有 32 个字符，只能包含字母数字字符和连字符，不能以连字符开头或结尾。

2. 对于模式，选择面向互联网。

网络映射

1. 对于 VPC，请选择与VPC您为实例选择的相同。

2. 对于映射，首先选择一个可用区，然后从其可用子网中选择一个公有子网。每个可用区只能选择一个子网。要提高负载均衡器的可用性，请选择多个可用区和子网。

安全组

1. 对于安全组，请选择一个现有安全组，该安全组已配置为允许端口 80 上的所需HTTPHTTPS流量和端口 443 上的流量。

   如果安全组不存在，则可以创建一个具有必要规则的新安全组。

侦听器和路由

1. 保留默认侦听器的默认设置，然后选择添加侦听器。

2. 对于新侦听器的侦听器部分，选择 HTTPS，因为协议和端口将更新为 443。默认情况下，实例将使用 HTTP 协议和端口 80。

3. 如果需要进行后端身份验证，请将实例协议更改为 HTTPS。此操作还会将实例端口更改为 443。

安全侦听器设置

在SSL为前端侦听器使用HTTPS或时，必须在负载均衡器上部署SSL证书。负载均衡器先使用此证书终止连接，解密来自客户端的请求，然后再将请求发送到实例。您还必须指定安全策略。Elastic Load Balancing 提供具有预定义SSL协商配置的安全策略，或者您可以创建自己的自定义安全策略。如果您在后端连接SSL上配置了HTTPS/，则可以启用实例的身份验证。

1. 对于安全策略，我们建议您始终使用最新的预定义安全策略，或者创建自定义策略。请参见更新SSL协商配置。

2. 对于 “默认”SSL/TLS证书，有以下选项可用：

   • 如果您使用创建或导入了证书 AWS Certificate Manager，请选择 “从”ACM，然后从 “选择证书” 中选择证书。

   • 如果您使用导入证书IAM，请选择 “从”IAM，然后从 “选择证书” 中选择您的证书。

   • 如果您有要导入的证书，但在您所在的地区ACM不可用，请选择导入，然后选择收件人IAM。在证书名称字段中输入证书的名称。在 “证书私钥” 中，复制并粘贴私钥文件（PEM-编码）的内容。在证书正文中，复制并粘贴公钥证书文件（PEM-编码）的内容。在证书链中，复制并粘贴证书链文件（PEM-encoded）的内容，除非您使用的是自签名证书，并且浏览器是否隐式接受证书并不重要。

3. （可选）如果您将HTTPS侦听器配置为使用加密连接与实例通信，则可以选择在后端身份验证证书中设置实例的身份验证。

   注意

   如果看不到后端身份验证证书部分，请返回侦听器和路由部分，然后对于实例的协议选择 HTTPS。

   1. 对于 Certificate name，键入公钥证书的名称。

   2. 对于证书正文（PEM已编码），请复制并粘贴证书的内容。只有在实例的公钥与此密钥匹配时，负载均衡器才会与该实例通信。

   3. 要添加其他证书，请选择添加新后端证书。最多可以添加五个。

运行状况检查

1. 在 Ping 目标部分中，选择一个 Ping 协议和 Ping 端口。您的EC2实例必须接受指定 ping 端口上的流量。

2. 对于 Ping 端口，确保端口为 80。

3. 对于 Ping 路径，请将默认值替换为单正斜线（/）。这会指示 Elastic Load Balancing 将运行状况检查请求发送到您的 Web 服务器的默认主页，如 index.html。

4. 对于高级运行状况检查设置，请使用默认值。

实例

1. 选择添加实例，这时将显示实例选择页面。

2. 在可用实例下，您可以根据之前选择的网络设置，从负载均衡器可用的当前实例中进行选择。

3. 确认选择无误后，选择确认以将要注册的实例添加到负载均衡器。

Attributes

1. 对于启用跨可用区负载均衡、启用连接耗尽以及超时（耗尽间隔时间），请保留默认值。

负载均衡器标签（可选）

1. 键字段为必填项。

2. 值字段为可选项。

3. 要添加其他标签，请选择添加新标签，然后输入键字段的值，以及可选的值字段的值。

4. 要移除现有标签，请选择要移除的标签旁的移除。

摘要和创建

1. 如果需要更改任何设置，请选择需要更改的设置旁的编辑。

2. 确认摘要中显示的所有设置无误后，选择创建负载均衡器以开始创建负载均衡器。

3. 在最终创建页面上，选择查看负载均衡器以在 Amazon EC2 控制台中查看您的负载均衡器。

验证

1. 选择新的负载均衡器。

2. 在目标实例选项卡中，选中运行状态列。在您的至少一个EC2实例处于服务状态后，您可以测试您的负载均衡器。

3. 在 “详细信息” 部分中，复制负载均衡器DNS名称，该名称应类似于。my-load-balancer-1234567890.us-east-1.elb.amazonaws.com

4. 将您的负载均衡器DNS名称粘贴到连接公共 Internet 的 Web 浏览器的地址字段中。如果负载均衡器运行正常，则会看到服务器的默认页面。

删除（可选）

1. 如果您的域名CNAME记录指向您的负载均衡器，请将其指向新的位置并等待DNS更改生效，然后再删除您的负载均衡器。

2. 打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

3. 选择负载均衡器。

4. 依次选择操作、删除负载均衡器。

5. 提示进行确认时，键入 confirm，然后选择删除。

6. 删除负载均衡器后，在该负载均衡器中注册的EC2实例将继续运行。您将按实例继续运行的部分或完整小时数付费。当您不再需要某个EC2实例时，可以停止或终止该实例，以免产生额外费用。

获取SSL证书的 Amazon 资源名称 (ARN)。例如：

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

使用以下create-load-balancer命令为负载均衡器配置两个侦听器：

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

以下为响应示例：

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

（可选）使用以下describe-load-balancers命令查看您的负载均衡器的详细信息：

aws elb describe-load-balancers --load-balancer-name my-load-balancer

使用以下describe-load-balancer-policies命令列出预定义安全策略的名称：

aws elb describe-load-balancer-policies

有关预定义安全策略的配置的信息，请参阅预定义SSL的安全策略。

使用以下create-load-balancer-policy命令使用您在上一步中描述的预定义安全策略之一创建SSL协商策略：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

（可选）使用以下describe-load-balancer-policies命令验证策略是否已创建：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

响应包括策略的描述。

使用以下 set-load-balancer-policiesof-listener 命令在负载均衡器端口 443 上启用该策略：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（可选）使用以下describe-load-balancers命令验证策略是否已启用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是指明已在端口 443 上启用策略的响应示例。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用create-load-balancer-policy命令使用自定义安全策略创建SSL协商策略。例如：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

（可选）使用以下describe-load-balancer-policies命令验证策略是否已创建：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

响应包括策略的描述。

使用以下 set-load-balancer-policiesof-listener 命令在负载均衡器端口 443 上启用该策略：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（可选）使用以下describe-load-balancers命令验证策略是否已启用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是指明已在端口 443 上启用策略的响应示例。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用以下命令检索公钥：

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

使用以下create-load-balancer-policy命令创建公钥策略：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

使用以下create-load-balancer-policy命令使用创建后端实例身份验证my-PublicKey-policy策略。

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

您可以选择使用多个公钥策略。负载均衡器会尝试所有密钥，一次尝试一个。如果实例提供的公钥与其中一个公钥匹配，则表示此实例已经过身份验证。

使用以下 set-load-balancer-policies-for-backend-server 命令设置my-authentication-policy为的实例端口HTTPS。在此示例中，实例端口为端口 443。

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

（可选）使用以下describe-load-balancer-policies命令列出您的负载均衡器的所有策略：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

（可选）使用以下describe-load-balancer-policies命令查看策略的详细信息：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy