使用HTTPS接聽程式建立 Classic Load Balancer

在 開啟 Amazon EC2主控台https://console.aws.amazon.com/ec2/。

於導覽列上，為負載平衡器選擇一個區域。請務必選取您為EC2執行個體選取的相同區域。

在導覽窗格的 Load Balancing (負載平衡器)，選擇 Load Balancer (負載平衡器)。

選擇 Create Load Balancer (建立負載平衡器)。

展開 Classic Load Balancer 區段，然後選擇建立。

基本組態

1. 針對負載平衡器名稱，輸入負載平衡器的名稱。

   在區域的 Classic Load Balancer 組合中，您的 Classic Load Balancer 名稱必須獨一無二，其字元數上限為 32 個，只能包含英數字元與連字號，但開頭或結尾都不可為連字號。

2. 針對結構描述，選取面向網際網路。

網路映射

1. 針對 VPC，選取VPC您為執行個體選取的相同項目。

2. 針對映射，先選取可用區域，然後從可用子網路中選擇公有子網路。一個可用區域只能選取一個子網路。為了提高您的負載平衡器可用性，可選取一個以上的可用區域和子網路。

安全群組

1. 針對安全群組 ，選取已設定為允許連接埠 80 上所需HTTP流量和連接埠 443 上所需HTTPS流量的現有安全群組。

   如果沒有安全群組符合條件，您可以建立擁有必要規則的新安全群組。

接聽程式和路由

1. 保留預設接聽程式的預設設定，然後選取新增接聽程式。

2. 針對新接聽程式上的接聽程式，請選取 HTTPS 做為通訊協定，然後連接埠會更新為 443。根據預設，執行個體會在連接埠 80 上使用 HTTP 通訊協定。

3. 如果需要執行後端身分驗證，請將執行個體通訊協定變更為 HTTPS。這也會將執行個體連接埠更新為 443

安全接聽程式設定

當您SSL為前端接聽程式使用 HTTPS或 時，您必須在負載平衡器上部署SSL憑證。負載平衡器使用此憑證終止連接，然後解密用戶端的請求，再將它們傳送到執行個體。您也必須指定安全政策。Elastic Load Balancing SSL 提供具有預先定義交涉組態的安全政策，或者您可以建立自己的自訂安全政策。如果您在後端連線上設定 HTTPS/SSL，您可以啟用執行個體的身分驗證。

1. 對於安全政策 ，我們建議您一律使用最新的預先定義安全政策，或建立自訂政策。請參閱更新SSL協商組態。

2. 對於預設 SSL/TLS 憑證 ，可使用下列選項：

   • 如果您使用 建立或匯入憑證 AWS Certificate Manager，請選取從 ACM，然後從選取憑證 中選取憑證。

   • 如果您使用 匯入憑證IAM，請選取從 IAM，然後從選取憑證 選取您的憑證。

   • 如果您有要匯入的憑證，但您的區域ACM無法使用，請選取匯入 ，然後選取至 IAM。在憑證名稱欄位輸入憑證名稱。在憑證私有金鑰 中，複製並貼上私有金鑰檔案 （PEM編碼） 的內容。在憑證內文 中，複製並貼上公有金鑰憑證檔案 （PEM編碼） 的內容。在憑證鏈 中，複製並貼上憑證鏈檔案的內容 （PEM編碼），除非您使用自我簽署憑證，而且瀏覽器不一定要隱含接受憑證。

3. （選用） 如果您將HTTPS接聽程式設定為使用加密連線與執行個體通訊，則可以選擇性地在後端身分驗證憑證 中設定執行個體的身分驗證。

   注意

   如果您沒有看到後端身分驗證憑證區段，請返回接聽程式和路由，然後選取 HTTPS 做為執行個體的通訊協定。

   1. 針對 Certificate name (憑證名稱)，輸入公有金鑰憑證的名稱。

   2. 對於憑證內文 （PEM 編碼），請複製並貼上憑證的內容。如果公有金鑰符合此金鑰，負載平衡器只會與執行個體通訊。

   3. 若要新增另一個憑證，請選擇新增後端憑證。最多五個憑證。

運作狀態檢查

1. 在 Ping 目標區段中，選取 Ping 通訊協定和 Ping 連接埠。您的EC2執行個體必須接受指定 ping 連接埠上的流量。

2. 針對 Ping 連接埠，請確定連接埠為 80。

3. 針對 Ping 路徑，請將預設值取代為單一政協線 (/)。這會告知 Elastic Load Balancing 將運作狀態檢查請求傳送給您 Web 伺服器的預設首頁，例如 index.html。

4. 針對進階運作狀態檢查設定，請使用預設值。

執行個體

1. 選取新增執行個體以開啟執行個體選取畫面。

2. 在可用執行個體下方，您可以根據先前選取的網路設定，選取目前可用於負載平衡器的執行個體。

3. 當您對您的選項感到滿意時，請選取確認，將要註冊的執行個體新增至負載平衡器。

Attributes

1. 針對啟用跨區域負載平衡、啟用連接耗盡和逾時 (耗盡間隔)，請保留預設值。

負載平衡器標籤 (選用)

1. 索引鍵欄位為必填。

2. 值欄位為選填。

3. 若要新增另一個標籤，請選取新增標籤，然後輸入索引鍵欄位值，並選擇性地填寫值欄位。

4. 若要移除現有的標籤，請在要移除的標籤旁選取移除。

摘要和建立

1. 如果您需要變更任何設定，請在需要變更的設定旁選取編輯。

2. 如果您對摘要中顯示的所有設定感到滿意，請選取建立負載平衡器，開始建立您的負載平衡器。

3. 在最終建立頁面上，選取檢視負載平衡器，以在 Amazon EC2主控台中檢視負載平衡器。

確認

1. 選取新的負載平衡器。

2. 在目標執行個體索引標籤中，檢查運作狀態欄位。在至少一個EC2執行個體處於使用中狀態之後，您可以測試負載平衡器。

3. 在詳細資訊區段中，複製負載平衡器DNS名稱 ，其看起來會類似於 my-load-balancer-1234567890.us-east-1.elb.amazonaws.com。

4. 將您的負載平衡器DNS名稱貼到公有網際網路連線 Web 瀏覽器的地址欄位中。如果負載平衡器運作正常，您會看到伺服器的預設頁面。

刪除 (選用)

1. 如果您的網域有指向負載平衡器CNAME的記錄，請將其指向新的位置，並等待DNS變更生效，然後再刪除負載平衡器。

2. 在 開啟 Amazon EC2主控台https://console.aws.amazon.com/ec2/。

3. 選取負載平衡器。

4. 選擇動作、刪除負載平衡器。

5. 出現確認提示時，請輸入 confirm，然後選取刪除。

6. 刪除負載平衡器後，向負載平衡器註冊的EC2執行個體會繼續執行。系統將根據執行個體繼續執行的時間，按每小時或不足一小時的時數計費。當您不再需要EC2執行個體時，您可以停止或終止執行個體，以避免產生額外費用。

取得SSL憑證的 Amazon Resource Name （ARN）。例如：

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

使用下列create-load-balancer命令，使用兩個接聽程式來設定負載平衡器：

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

以下是回應範例：

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

（選用） 使用下列describe-load-balancers命令來檢視負載平衡器的詳細資訊：

aws elb describe-load-balancers --load-balancer-name my-load-balancer

使用以下describe-load-balancer-policies命令列出預先定義安全政策的名稱：

aws elb describe-load-balancer-policies

如需有關為預先定義安全政策的組態的詳細資訊，請參閱Classic Load Balancer 的預先定義SSL安全政策。

使用下列create-load-balancer-policy命令，使用您在上一個步驟中描述的其中一個預先定義安全政策來建立SSL交涉政策：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

（選用） 使用下列describe-load-balancer-policies命令來驗證政策是否已建立：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

回應包含政策的描述。

使用下列 set-load-balancer-policies-of-listener 命令，在負載平衡器連接埠 443 上啟用政策：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（選用） 使用下列describe-load-balancers命令來驗證政策是否已啟用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是範例回應，其顯示政策在連接埠 443 上啟用。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用 SSL create-load-balancer-policy命令來使用自訂安全政策建立交涉政策。例如：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

（選用） 使用下列describe-load-balancer-policies命令來驗證政策是否已建立：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

回應包含政策的描述。

使用下列 set-load-balancer-policies-of-listener 命令在負載平衡器連接埠 443 上啟用政策：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（選用） 使用下列describe-load-balancers命令來驗證政策是否已啟用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是範例回應，其顯示政策在連接埠 443 上啟用。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用下列命令來擷取公有金鑰：

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

使用下列create-load-balancer-policy命令來建立公有金鑰政策：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

使用以下create-load-balancer-policy命令，使用 建立後端執行個體身分驗證政策my-PublicKey-policy。

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

您可以選擇性使用多個公有金鑰政策。負載平衡器嘗試所有金鑰，一次一個。如果執行個體提供的公有金鑰符合這些公有金鑰的其中一個，該執行個體會被驗證。

使用下列 set-load-balancer-policies- for-backend-server命令my-authentication-policy，將 設定為 的執行個體連接埠HTTPS。在此範例中，執行個體連接埠為 443。

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

（選用） 使用以下describe-load-balancer-policies命令列出負載平衡器的所有政策：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

（選用） 使用下列describe-load-balancer-policies命令來檢視政策的詳細資訊：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy