為您的 Application Load Balancer 建立 HTTPS 接聽程式 - Elastic Load Balancing
必要條件新增 HTTPS 接聽程式

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為您的 Application Load Balancer 建立 HTTPS 接聽程式

接聽程式會檢查連線請求。當您在立負載平衡器時便定義接聽程式，然後可隨時新增接聽程式到您的負載平衡器。

若要建立 HTTPS 接聽程式，您必須在負載平衡器上部署至少一個 SSL 伺服器憑證。負載平衡器使用伺服器憑證終止前端連接，然後解密用戶端的請求，再將它們傳送到目標。您也必須指定安全政策，用於交涉用戶端與負載平衡器之間的安全連線。

如果您需要將加密的流量傳遞至目標，而不讓負載平衡器解密，則可以使用連接埠 443 上的 TCP 接聽程式建立 Network Load Balancer 或 Classic Load Balancer。使用 TCP 接聽程式，負載平衡器會將加密的流量傳遞至目標，而不會解密。

此頁面上的資訊可協助您為負載平衡器建立 HTTPS 接聽程式。若要將 HTTP 接聽程式新增至負載平衡器，請參閱 為您的 Application Load Balancer 建立 HTTP 接聽程式。

必要條件

  • 若要建立 HTTPS 接聽程式，您必須指定憑證和安全政策。負載平衡器會使用憑證來終止連接，然後解密用來自戶端的請求，之後才將它們路由到目標。負載平衡器會在與用戶端交涉 SSL 連線時使用安全政策。

    Application Load Balancer 不支援 ED25519 金鑰。

  • 若要新增轉送動作到預設的接聽程式規則，您必須指定可用的目標群組。如需詳細資訊，請參閱為您的 Application Load Balancer 建立目標群組。

  • 您可以在多個接聽程式中指定相同的目標群組，但這些接聽程式必須屬於相同的負載平衡器。若要將目標群組與負載平衡器搭配使用，您必須確認沒有其他負載平衡器的接聽程式使用該目標群組。

新增 HTTPS 接聽程式

您使用用戶端與負載平衡器間連線的通訊協定與連接埠來設定接聽程式，並為預設接聽程式規則設定目標群組。如需詳細資訊，請參閱接聽程式組態。

使用主控台新增 HTTPS 接聽程式

  1. 在 EC2 開啟 Amazon https://console.aws.amazon.com/ec2/ 主控台。

  2. 在導覽窗格上選擇 Load Balancers (負載平衡器)。

  3. 選取負載平衡器。

  4. 在接聽程式和規則索引標籤上，選擇新增接聽程式。

  5. 針對通訊協定 ：連接埠，選擇 HTTPS 並保留預設連接埠，或輸入不同的連接埠。

  6. (選用) 若要啟用身分驗證，請在身分驗證下選取使用 OpenID 或 Amazon Cognito，然後提供請求的資訊。如需詳細資訊，請參閱使用 Application Load Balancer 來驗證使用者身分。

  7. 針對 Default actions (預設動作)，執行下列其中一項作業：

    • 轉送至目標群組 – 選擇一個或多個要將流量轉送至其中的目標群組。若要新增目標群組，請選擇新增目標群組。如果使用多個目標群組，請為每個目標群組選取權重，並檢閱相關的百分比。如果您已在一個或多個目標群組上啟用粘性，則必須在規則上啟用群組層級粘性。

    • 重新導向至 URL – 指定用戶端請求要重新導向的 URL。這可以透過在 URI 部分索引標籤上分別輸入每個部分，或在完整 URL 索引標籤上輸入完整地址來完成。對於狀態碼，您可以根據您的需求將重新導向設定為暫時 (HTTP 302) 或永久 (HTTP 301)。

    • 傳回固定回應 – 指定回應代碼，此代碼將傳回至遭捨棄的用戶端請求。此外，您可以指定內容類型和回應內文，但這並非必填的資訊。

  8. 對於安全政策，建議您一律使用最新的預先定義安全政策。

  9. 對於預設 SSL/TLS 憑證，可使用下列選項：

    • 如果您使用 建立或匯入憑證 AWS Certificate Manager，請選取從 ACM，然後從選取憑證中選取憑證。

    • 如果您使用 IAM 匯入憑證，請選取從 IAM，然後從選取憑證中選取您的憑證。

    • 如果您有要匯入的憑證，但 區域無法使用 ACM，請選取匯入，然後選取至 IAM。在憑證名稱欄位輸入憑證名稱。在憑證私有金鑰中，複製並貼上私有金鑰檔案的內容 (PEM編碼）。在憑證內文中，複製並貼上公有金鑰憑證檔案 （以PEM編碼） 的內容。在憑證鏈中，複製並貼上憑證鏈檔案的內容 (PEM編碼），除非您使用自我簽署憑證，而且瀏覽器不一定要隱含接受憑證。

  10. （選用） 若要啟用相互身分驗證，請在用戶端憑證處理下啟用相互身分驗證 (mTLS)。

    啟用時，預設的相互 TLS 模式為傳遞。

    如果您選擇使用 Trust Store 驗證：

    • 根據預設，具有過期用戶端憑證的連線會遭到拒絕。若要變更此行為，請展開進階 mTLS 設定，然後在用戶端憑證過期下，選取允許過期的用戶端憑證。

    • 在信任存放區下選擇現有的信任存放區，或選擇新的信任存放區。

      • 如果您選擇新的信任存放區，請提供信任存放區名稱、S3 URI 憑證授權單位位置，以及選用的 S3 URI 憑證撤銷清單位置。

    • （選用） 如果您想要啟用 Advertise TrustStore CA 主題名稱，請選擇此選項。

  11. 選擇 Save (儲存)。

使用 新增 HTTPS 接聽程式 AWS CLI

使用 create-listener 命令來建立接聽程式和預設規則，以及 create-rule 命令來定義額外的接聽程式規則。