Erstellen eines Classic Load Balancers mit einem HTTPS-Listener

Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

Wählen Sie in der Navigationsleiste eine Region für Ihren Load Balancer aus. Achten Sie darauf, dieselbe Region auszuwählen, die Sie für Ihre EC2 Instances ausgewählt haben.

Wählen Sie im Navigationsbereich unter LOAD BALANCING die Option Load Balancers aus.

Wählen Sie Load Balancer erstellen aus.

Erweitern Sie den Abschnitt Classic Load Balancer und wählen Sie dann Create (Erstellen) aus.

Basiskonfiguration

1. Geben Sie im Feld Load balancer name (Name des Load Balancers) einen Namen für Ihren Load Balancer ein.

   Der Name des Classic Load Balancers muss innerhalb Ihrer Gruppe mit Classic Load Balancern für die Region eindeutig sein, darf maximal 32 Zeichen lang sein, darf nur alphanumerische Zeichen sowie Bindestriche enthalten und darf nicht mit einem Bindestrich beginnen oder enden.

2. Wählen Sie für Scheme (Schema) die Option Internet-facing (Internet verbunden) aus.

Netzwerkzuordnung

1. Wählen Sie im Feld VPC die VPC aus, die Sie für Ihre Instances verwendet haben.

2. Wählen Sie für Mappings (Zuordnungen) zunächst eine Availability Zone und dann ein öffentliches Subnetz aus den verfügbaren Subnetzen aus. Sie können nur ein Subnetz pro Availability Zone auswählen. Zur Verbesserung der Verfügbarkeit Ihrer Load Balancer wählen Sie mehr als eine Availability Zone und ein Subnetz aus.

Sicherheitsgruppen

1. Wählen Sie für Security groups (Sicherheitsgruppen) eine vorhandene Sicherheitsgruppe aus, die so konfiguriert ist, dass sie den erforderlichen HTTP-Verkehr auf Port 80 und HTTPS-Verkehr auf Port 443 zulässt.

   Wenn keine vorhanden ist, können Sie eine neue Sicherheitsgruppe mit den erforderlichen Regeln erstellen.

Listener und Routing

1. Behalten Sie die Standardeinstellungen für den Standard-Listener bei und wählen Sie Add listener (Listener hinzufügen) aus.

2. Wählen Sie für Listener auf dem neuen Listener HTTPS als Protokoll aus, und der Port wird auf 443 aktualisiert. Standardmäßig verwendet Instance das HTTP-Protokoll auf dem Port 80.

3. Wenn eine Backend-Authentifizierung erforderlich ist, ändern Sie das Instance-Protokoll auf HTTPS. Auf diese Weise wird auch der Instance-Port auf 443 aktualisiert

Secure listener settings (Sichere Listener-Einstellungen)

Wenn Sie HTTPS oder SSL für Ihre Frontend-Listener verwenden, müssen Sie ein SSL-Zertifikat auf dem Load Balancer bereitstellen. Der Load Balancer verwendet das Zertifikat, um die Verbindung zu beenden und dann Anfragen von Clients zu entschlüsseln, bevor er sie an die Instances sendet. Sie müssen auch eine Sicherheitsrichtlinie angeben. Elastic Load Balancing bietet Sicherheitsrichtlinien mit vordefinierten SSL-Aushandlungskonfigurationen, oder Sie können Ihre eigenen benutzerdefinierten Sicherheitsrichtlinien erstellen. Wenn Sie die Back-End-Verbindung konfiguriert HTTPS/SSL haben, können Sie die Authentifizierung Ihrer Instances aktivieren.

1. Für Sicherheitsrichtlinien empfehlen wir, immer die neueste vordefinierte Sicherheitsrichtlinie zu verwenden oder eine benutzerdefinierte Richtlinie zu erstellen. Siehe Aktualisieren der SSL-Aushandlungskonfiguration.

2. Für das SSL/TLS Standardzertifikat sind die folgenden Optionen verfügbar:

   • Wenn Sie ein Zertifikat mit erstellt oder importiert haben AWS Certificate Manager, wählen Sie Aus ACM und dann das Zertifikat unter Zertifikat auswählen aus.

   • Wenn Sie ein Zertifikat mit IAM importiert haben, wählen Sie Von ACM aus und wählen Sie dann das Zertifikat unter Zertifikat auswählen aus.

   • Wenn Sie ein Zertifikat importieren, aber ACM in Ihrer Region nicht verfügbar ist, wählen Sie Importieren und dann An IAM aus. Geben Sie im Feld Zertifikatname den Namen des Zertifikats ein. Kopieren Sie den Inhalt der privaten Schlüsseldatei (PEM-kodiert) und fügen Sie ihn in das Feld Privater Zertifikatsschlüssel ein. Kopieren Sie den Inhalt der öffentlichen Schlüsselzertifikatdatei (PEM-kodiert) und fügen Sie ihn in das Feld Zertifikatstext ein. Kopieren Sie den Inhalt der Zertifikatskettendatei (PEM-kodiert) und fügen Sie ihn in das Feld Certificate Chain (Zertifikats-Kette) ein, es sei denn, Sie verwenden ein selbst signiertes Zertifikat und es ist nicht wichtig, dass Browser das Zertifikat implizit akzeptieren.

3. (Optional) Wenn Sie den HTTPS-Listener für die Kommunikation mit den Instances über eine verschlüsselte Verbindung eingerichtet haben, können Sie optional die Authentifizierung der Instances unter Backend authentication certificate (Backend-Authentifizierungszertifikat) einrichten.

   Anmerkung

   Wenn Sie den Abschnitt Backend authentication certificate (Backend-Authentifizierungszertifikat) nicht sehen, kehren Sie zu Listeners and routing (Listeners und Routing) zurück und wählen Sie HTTPS als Protokoll für Instance aus.

   1. Geben Sie für Certificate name den Namen des öffentlichen Schlüsselzertifikats ein.

   2. Kopieren Sie für Certificate Body (PEM encoded) (Zertifizierungsstelle (PEM-codiert)) den Inhalt des Zertifikats und fügen Sie ihn ein. Der Load Balancer kommuniziert mit einer Instanz nur dann, wenn der öffentliche Schlüssel diesem Schlüssel entspricht.

   3. Um ein weiteres Zertifikat hinzuzufügen, wählen Sie Add new backend certificate (Neues Backend-Zertifikat hinzufügen). Das Limit liegt bei fünf.

Health checks (Zustandsprüfungen)

1. Wählen Sie im Abschnitt Ping target (Ping-Ziel) ein Ping Protocol (Ping-Protokoll) und einen Ping Port (Ping-Port) aus. Ihre EC2 Instances müssen Datenverkehr über den angegebenen Ping-Port akzeptieren.

2. Stellen Sie für Ping Port sicher, dass der Port 80 ist.

3. Ersetzen Sie den Standardwert für Ping Path (Ping-Pfad) durch einen Schrägstrich (/). Dadurch wird ELB angewiesen, Anfragen zur Integritätsprüfung an die Standardstartseite Ihres Webservers zu senden, z. index.html B.

4. Verwenden Sie für die Advanced health check settings (Einstellungen für erweiterte Zustandsprüfungen) die Standardwerte.

Instances

1. Wählen Sie Add instances (Instances hinzufügen) aus, um den Bildschirm zur Instance-Auswahl aufzurufen.

2. Unter Available instances (Verfügbare Instances) können Sie basierend auf den zuvor gewählten Netzwerkeinstellungen aus den aktuellen Instances auswählen, die für den Load Balancer verfügbar sind.

3. Wenn Sie mit Ihrer Auswahl zufrieden sind, wählen Sie Confirm (Bestätigen) aus, um die zu registrierenden Instances zum Load Balancer hinzuzufügen.

Attribute

1. Behalten Sie für Enable cross-zone load balancing (Zonenübergreifendes Load Balancing aktivieren), Enable connection draining (Connection Draining aktivieren) und Timeout (draining interval) (Timeout (Draining-Intervall)) die Standardwerte bei.

Load balancer tags (optional) (Load-Balancer-Tags (optional))

1. Das Feld Key (Schlüssel) ist ein Pflichtfeld.

2. Das Feld Value (Wert) ist optional.

3. Um ein weiteres Tag hinzuzufügen, wählen Sie Add new tag (Neues Tag hinzufügen) aus und geben Sie dann Ihre Werte in das Feld Key (Schlüssel) und optional in das Feld Value (Wert) ein.

4. Um ein vorhandenes Tag zu entfernen, wählen Sie neben dem zu entfernenden Tag die Option Remove (Entfernen).

Summary and creation (Zusammenfassung und Erstellung)

1. Wenn Sie Einstellungen ändern müssen, wählen Sie neben der Einstellung, die geändert werden muss, Edit (Bearbeiten) aus.

2. Wenn Sie mit allen in der Zusammenfassung angezeigten Einstellungen zufrieden sind, wählen Sie Create load balancer (Load Balancer erstellen) aus, um mit der Erstellung Ihres Load Balancers zu beginnen.

3. Wählen Sie auf der letzten Erstellungsseite Load Balancer anzeigen aus, um Ihren Load Balancer in der EC2 Amazon-Konsole anzuzeigen.

Verify

1. Wählen Sie den neuen Load Balancer aus.

2. Überprüfen Sie auf der Registerkarte Target instances (Ziel-Instances) die Spalte Health status (Zustandsstatus). Sobald mindestens eine Ihrer EC2 Instances in Betrieb ist, können Sie Ihren Load Balancer testen.

3. Kopieren Sie im Abschnitt Details den DNS name (DNS-Namen) des Load Balancers, der etwa wie my-load-balancer-1234567890.us-east-1.elb.amazonaws.com aussehen würde.

4. Fügen Sie den DNS name (DNS-Namen) Ihres Load Balancers in das Adressfeld eines öffentlichen Webbrowsers mit Internetanschluss ein. Wenn Ihr Load Balancer korrekt funktioniert, sehen Sie die Standardseite Ihres Servers.

Delete (optional) (Löschen (optional))

1. Wenn Sie einen CNAME-Eintrag für Ihre Domain haben, der auf Ihren Load Balancer verweist, verweisen Sie ihn an den neuen Standort und warten Sie, bis die DNS-Änderungen wirksam werden, bevor Sie den Load Balancer löschen.

2. Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

3. Wählen Sie den Load Balancer aus.

4. Wählen Sie den Load Balancer aus und klicken Sie auf Actions (Aktionen) und dann auf Delete load balancer (Load Balancer löschen).

5. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie confirm ein und wählen Sie dann Delete (Löschen) aus.

6. Nachdem Sie einen Load Balancer gelöscht haben, werden die EC2 Instances, die beim Load Balancer registriert wurden, weiter ausgeführt. Ihnen wird jede teilweise oder ganze Stunde in Rechnung gestellt, in der sie weiterlaufen. Wenn Sie eine EC2 Instance nicht mehr benötigen, können Sie sie beenden oder beenden, um zusätzliche Kosten zu vermeiden.

Rufen Sie den Amazon-Ressourcennamen (ARN) des SSL-Zertifikats ab. Beispiel:

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

Verwenden Sie den folgenden create-load-balancerBefehl, um den Load Balancer mit den beiden Listenern zu konfigurieren:

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

Nachfolgend finden Sie eine Beispielantwort:

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

(Optional) Verwenden Sie den folgenden describe-load-balancersBefehl, um die Details Ihres Load Balancers anzuzeigen:

aws elb describe-load-balancers --load-balancer-name my-load-balancer

Verwenden Sie den folgenden describe-load-balancer-policiesBefehl, um die Namen der vordefinierten Sicherheitsrichtlinien aufzulisten:

aws elb describe-load-balancer-policies

Informationen über die Konfiguration mit vordefinierten Sicherheitsrichtlinien finden Sie unter Vordefinierte SSL-Sicherheitsrichtlinien für Classic Load Balancer.

Verwenden Sie den folgenden create-load-balancer-policyBefehl, um eine SSL-Verhandlungsrichtlinie mithilfe einer der vordefinierten Sicherheitsrichtlinien zu erstellen, die Sie im vorherigen Schritt beschrieben haben:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

(Optional) Verwenden Sie den folgenden describe-load-balancer-policiesBefehl, um zu überprüfen, ob die Richtlinie erstellt wurde:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

Die Antwort enthält die Beschreibung der Richtlinie.

Verwenden Sie den folgenden Befehl set-load-balancer-policies-of-listener, um die Richtlinie auf dem Load Balancer-Port 443 zu aktivieren:

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Optional) Verwenden Sie den folgenden describe-load-balancersBefehl, um zu überprüfen, ob die Richtlinie aktiviert ist:

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

Es folgt ein Beispiel für eine Antwort, die zeigt, dass die Richtlinie auf Port 443 aktiviert ist.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Verwenden Sie den create-load-balancer-policyBefehl, um eine SSL-Verhandlungsrichtlinie mithilfe einer benutzerdefinierten Sicherheitsrichtlinie zu erstellen. Beispiel:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

(Optional) Verwenden Sie den folgenden describe-load-balancer-policiesBefehl, um zu überprüfen, ob die Richtlinie erstellt wurde:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

Die Antwort enthält die Beschreibung der Richtlinie.

Verwenden Sie den folgenden Befehl set-load-balancer-policies-of-listener, um die Richtlinie auf dem Load Balancer-Port 443 zu aktivieren:

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

(Optional) Verwenden Sie den folgenden describe-load-balancersBefehl, um zu überprüfen, ob die Richtlinie aktiviert ist:

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

Es folgt ein Beispiel für eine Antwort, die zeigt, dass die Richtlinie auf Port 443 aktiviert ist.

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

Verwenden Sie den folgenden Befehl, um den öffentlichen Schlüssel abzurufen:

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

Verwenden Sie den folgenden create-load-balancer-policyBefehl, um eine Richtlinie für öffentliche Schlüssel zu erstellen:

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

Verwenden Sie den folgenden create-load-balancer-policyBefehl, um eine Authentifizierungsrichtlinie für Back-End-Instanzen mithilfe von my-PublicKey-policy zu erstellen.

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

Sie haben auch die Möglichkeit, verschiedene Richtlinien mit öffentlichem Schlüssel zu verwenden. Der Load Balancer versucht nacheinander alle Schlüssel. Wenn der von einer Instance angebotene öffentliche Schlüssel mit einem dieser öffentlichen Schlüssel übereinstimmt, ist die Instance authentifiziert.

Verwenden Sie den folgenden for-backend-server Befehl set-load-balancer-policies-, my-authentication-policy um den Instanzport für HTTPS festzulegen. In diesem Beispiel ist der Instance-Port 443.

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

(Optional) Verwenden Sie den folgenden describe-load-balancer-policiesBefehl, um alle Richtlinien für Ihren Load Balancer aufzulisten:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

(Optional) Verwenden Sie den folgenden describe-load-balancer-policiesBefehl, um Details der Richtlinie anzuzeigen:

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy