本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Network Load Balancer 的安全政策
建立TLS接聽程式時，您必須選取安全政策。安全政策會決定負載平衡器和用戶端在SSL交涉期間支援哪些密碼和通訊協定。如果您的需求變更或當我們發佈新的安全政策時，您可以更新負載平衡器的安全政策。如需詳細資訊，請參閱更新安全政策。
考量事項
-
此
ELBSecurityPolicy-TLS13-1-2-2021-06政策是使用 建立TLS接聽程式的預設安全政策 AWS Management Console。-
我們建議使用包含 TLS 1.3
ELBSecurityPolicy-TLS13-1-2-2021-06的安全政策，且與 TLS 1.2 向下相容。
-
-
此
ELBSecurityPolicy-2016-08政策是使用 建立TLS接聽程式的預設安全政策 AWS CLI。 -
您可以選擇用於前端連線的安全政策，但不能選擇後端連線。
-
對於後端連線，如果您的TLS接聽程式使用 TLS 1.3 安全政策，則會使用
ELBSecurityPolicy-TLS13-1-0-2021-06安全政策。否則會將ELBSecurityPolicy-2016-08安全政策用於後端連線。
-
-
您可以啟用存取日誌，以取得傳送至 Network Load Balancer 之TLS請求的相關資訊、分析TLS流量模式、管理安全政策升級，以及疑難排解問題。啟用負載平衡器的存取日誌，並檢查對應的存取日誌項目。如需詳細資訊，請參閱存取日誌和 Network Load Balancer 範例查詢。
-
您可以分別使用 AWS 帳戶 和服務 AWS Organizations 控制政策 （SCPs） 中的 Elastic Load Balancing 條件金鑰，來限制 IAM和 的使用者可使用哪些安全政策。如需詳細資訊，請參閱 AWS Organizations 使用者指南 中的服務控制政策 （SCPs）。
您可以使用 describe-ssl-policies AWS CLI 命令描述通訊協定和密碼，或參閱下表。
安全政策
TLS 安全政策
您可以使用TLS安全政策來滿足需要停用特定TLS通訊協定版本的合規和安全標準，或支援需要已棄用密碼的舊版用戶端。
依政策的通訊協定
下表說明每個TLS安全政策支援的通訊協定。
| 安全政策 | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-1-1-2021-06 | ||||
| ELBSecurityPolicy-TLS13-2021 年 0 月 1 日 | ||||
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 | ||||
| ELBSecurityPolicy-TLS-1-2-2017-01 | ||||
| ELBSecurityPolicy-TLS-1-1-2017-01 | ||||
| ELBSecurityPolicy-2016 年 8 月 | ||||
| ELBSecurityPolicy-2015 年 5 月 |
依政策的 Ciphers
下表說明每個TLS安全政策支援的密碼。
| 安全政策 | 加密方式 |
|---|---|
| ELBSecurityPolicy-TLS13-1-3-2021-06 |
|
| ELBSecurityPolicy-TLS13-1-2-2021-06 |
|
| ELBSecurityPolicy-TLS13-1-2-Res-2021-06 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext2-2021-06 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext1-2021-06 |
|
| ELBSecurityPolicy-TLS13-1-1-2021-06 |
|
| ELBSecurityPolicy-TLS13-2021 年 0 月 1 日 |
|
| ELBSecurityPolicy-TLS-1-2-Ext-2018-06 |
|
| ELBSecurityPolicy-TLS-1-2-2017-01 |
|
| ELBSecurityPolicy-TLS-1-1-2017-01 |
|
| ELBSecurityPolicy-2016 年 8 月 |
|
| ELBSecurityPolicy-2015 年 5 月 |
|
依密碼顯示政策
下表說明支援每個密碼TLS的安全政策。
| 密碼名稱 | 安全政策 | 密碼套件 |
|---|---|---|
|
開啟SSL – TLS_AES_128_GCM_SHA256 IANA – TLS_AES_128_GCM_SHA256 |
|
1301 |
|
開啟SSL – TLS_AES_256_GCM_SHA384 IANA – TLS_AES_256_GCM_SHA384 |
|
1302 |
|
開啟SSL – TLS_CHACHA20_POLY1305_SHA256 IANA – TLS_CHACHA20_POLY1305_SHA256 |
|
1303 |
|
開啟SSL – ECDHE-ECDSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
開啟SSL – ECDHE-RSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_RSA_WITHAES__128_GCM_SHA256 |
|
c02f |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA256 IANA – TLS_ECDHE_ECDSA_WITHAES__128_CBC_SHA256 |
|
c023 |
|
開啟SSL – ECDHE-RSA-AES128-SHA256 IANA – TLS_ECDHE_RSA_WITHAES__128_CBC_SHA256 |
|
c027 |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA IANA – TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
開啟SSL – ECDHE-RSA-AES128-SHA IANA – TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
開啟SSL – ECDHE-ECDSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_ECDSA_WITHAES__256_GCM_SHA384 |
|
c02c |
|
開啟SSL – ECDHE-RSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_RSA_WITHAES__256_GCM_SHA384 |
|
c030 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA384 IANA – TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
開啟SSL – ECDHE-RSA-AES256-SHA384 IANA – TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
|
c028 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA IANA – TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
|
c00a |
|
開啟SSL – ECDHE-RSA-AES256-SHA IANA – TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
|
開啟SSL – AES128-GCM-SHA256 IANA – TLS_RSA_WITHAES__128_GCM_SHA256 |
|
9c |
|
開啟SSL – AES128-SHA256 IANA – TLS_RSA_WITHAES__128_CBC_SHA256 |
|
3c |
|
開啟SSL – AES128-SHA IANA – TLS_RSA_WITHAES__128_CBC_SHA |
|
2f |
|
開啟SSL – AES256-GCM-SHA384 IANA – TLS_RSA_WITHAES__256_GCM_SHA384 |
|
9d |
|
開啟SSL – AES256-SHA256 IANA – TLS_RSA_WITHAES__256_CBC_SHA256 |
|
3d |
|
開啟SSL – AES256-SHA IANA – TLS_RSA_WITHAES_256_CBC_SHA |
|
35 |
FIPS 安全政策
聯邦資訊處理標準 （FIPS） 是美國和加拿大政府標準，指定保護敏感資訊之密碼編譯模組的安全要求。若要進一步了解，請參閱AWS 雲端安全合規頁面上的聯邦資訊處理標準 （FIPS） 140
所有FIPS政策都會利用 AWS-LC FIPS 已驗證的密碼編譯模組。若要進一步了解，請參閱 密碼編譯模組驗證計劃網站上的 AWS-LC
重要
政策 ELBSecurityPolicy-TLS13-1-1-FIPS-2023-04和 ELBSecurityPolicy-TLS13-1-0-FIPS-2023-04 僅供舊版相容性使用。雖然他們使用 FIPS140 模組進行FIPS密碼編譯，但可能不符合最新的TLS組態NIST指南。
依政策的通訊協定
下表說明每個FIPS安全政策支援的通訊協定。
| 安全政策 | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-TLS13-1-3FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Res -FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-1FIPS-2023-04 | ||||
| ELBSecurityPolicy-TLS13-1-0FIPS-2023-04 |
依政策的 Ciphers
下表說明每個FIPS安全政策支援的密碼。
| 安全政策 | 加密方式 |
|---|---|
| ELBSecurityPolicy-TLS13-1-3FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-2FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-2-Res -FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext2-FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext1-FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-2-Ext0-FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-1FIPS-2023-04 |
|
| ELBSecurityPolicy-TLS13-1-0FIPS-2023-04 |
|
依密碼顯示政策
下表說明支援每個密碼FIPS的安全政策。
| 密碼名稱 | 安全政策 | 密碼套件 |
|---|---|---|
|
開啟SSL – TLS_AES_128_GCM_SHA256 IANA – TLS_AES_128_GCM_SHA256 |
|
1301 |
|
開啟SSL – TLS_AES_256_GCM_SHA384 IANA – TLS_AES_256_GCM_SHA384 |
|
1302 |
|
開啟SSL – ECDHE-ECDSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
|
c02b |
|
開啟SSL – ECDHE-RSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_RSA_WITHAES__128_GCM_SHA256 |
|
c02f |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA256 IANA – TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
|
c023 |
|
開啟SSL – ECDHE-RSA-AES128-SHA256 IANA – TLS_ECDHE_RSA_WITHAES__128_CBC_SHA256 |
|
c027 |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA IANA – TLS_ECDHE_ECDSA_WITHAES__128_CBC_SHA |
|
c009 |
|
開啟SSL – ECDHE-RSA-AES128-SHA IANA – TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
開啟SSL – ECDHE-ECDSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_ECDSA_WITHAES__256_GCM_SHA384 |
|
c02c |
|
開啟SSL – ECDHE-RSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_RSA_WITHAES__256_GCM_SHA384 |
|
c030 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA384 IANA – TLS_ECDHE_ECDSA_WITHAES__256_CBC_SHA384 |
|
c024 |
|
開啟SSL – ECDHE-RSA-AES256-SHA384 IANA – TLS_ECDHE_RSA_WITHAES__256_CBC_SHA384 |
|
c028 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA IANA – TLS_ECDHE_ECDSA_WITHAES__256_CBC_SHA |
|
c00a |
|
開啟SSL – ECDHE-RSA-AES256-SHA IANA – TLS_ECDHE_RSA_WITHAES__256_CBC_SHA |
|
c014 |
|
開啟SSL – AES128-GCM-SHA256 IANA – TLS_RSA_WITHAES__128_GCM_SHA256 |
|
9c |
|
開啟SSL – AES128-SHA256 IANA – TLS_RSA_WITHAES__128_CBC_SHA256 |
|
3c |
|
開啟SSL – AES128-SHA IANA – TLS_RSA_WITHAES__128_CBC_SHA |
|
2f |
|
開啟SSL – AES256-GCM-SHA384 IANA – TLS_RSA_WITHAES_256_GCM_SHA384 |
|
9 天 |
|
開啟SSL – AES256-SHA256 IANA – TLS_RSA_WITHAES_256_CBC_SHA256 |
|
3d |
|
開啟SSL – AES256-SHA IANA – TLS_RSA_WITHAES_256_CBC_SHA |
|
35 |
FS 支援的安全政策
FS （Forward Secrecy） 支援的安全政策透過使用唯一的隨機工作階段金鑰，提供額外的保護措施，防止加密資料的竊聽。這可防止擷取的資料解碼，即使秘密長期金鑰遭到入侵。
依政策的通訊協定
下表說明每個 FS 支援的安全政策支援的通訊協定。
| 安全政策 | TLS 1.3 | TLS 1.2 | TLS 1.1 | TLS 1.0 |
|---|---|---|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 | ||||
| ELBSecurityPolicy-FS-1-2-Res-2019-08 | ||||
| ELBSecurityPolicy-FS-1-2-2019-08 | ||||
| ELBSecurityPolicy-FS-1-1-2019-08 | ||||
| ELBSecurityPolicy-FS-2018-06 |
依政策的 Ciphers
下表說明每個 FS 支援的安全政策支援的密碼。
| 安全政策 | 加密方式 |
|---|---|
| ELBSecurityPolicy-FS-1-2-Res-2020-10 |
|
| ELBSecurityPolicy-FS-1-2-Res-2019-08 |
|
| ELBSecurityPolicy-FS-1-2-2019-08 |
|
| ELBSecurityPolicy-FS-1-1-2019-08 |
|
| ELBSecurityPolicy-FS-2018-06 |
|
依密碼顯示政策
下表說明支援每個密碼的 FS 支援安全政策。
| 密碼名稱 | 安全政策 | 密碼套件 |
|---|---|---|
|
開啟SSL – ECDHE-ECDSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_ECDSA_WITHAES__128_GCM_SHA256 |
|
c02b |
|
開啟SSL – ECDHE-RSA-AES128-GCM-SHA256 IANA – TLS_ECDHE_RSA_WITHAES__128_GCM_SHA256 |
|
c02f |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA256 IANA – TLS_ECDHE_ECDSA_WITHAES__128_CBC_SHA256 |
|
c023 |
|
開啟SSL – ECDHE-RSA-AES128-SHA256 IANA – TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
|
c027 |
|
開啟SSL – ECDHE-ECDSA-AES128-SHA IANA – TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
|
c009 |
|
開啟SSL – ECDHE-RSA-AES128-SHA IANA – TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
|
c013 |
|
開啟SSL – ECDHE-ECDSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
|
c02c |
|
開啟SSL – ECDHE-RSA-AES256-GCM-SHA384 IANA – TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
|
c030 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA384 IANA – TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
|
c024 |
|
開啟SSL – ECDHE-RSA-AES256-SHA384 IANA – TLS_ECDHE_RSA_WITHAES__256_CBC_SHA384 |
|
c028 |
|
開啟SSL – ECDHE-ECDSA-AES256-SHA IANA – TLS_ECDHE_ECDSA_WITHAES__256_CBC_SHA |
|
c00a |
|
開啟SSL – ECDHE-RSA-AES256-SHA IANA – TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
|
c014 |
